セキュリティポリシー

最終更新日: 2026年10月17日

YourImageShareと、ご利用くださる皆さまの安全を、当サービスは重く受け止めています。セキュリティ上の脆弱性を見つけた場合は、ぜひお知らせください。このページでは、報告の方法、当サービスの対応、安全にテストを行うためのルールを説明します。

1. 脆弱性の報告方法

[email protected] 宛てにメールをお送りいただくか、お問い合わせフォームをご利用ください。フォームの場合は、件名の冒頭に「Security」と入力してください。修正される前に、公開の場(GitHubのIssue、コメント、SNSなど)で脆弱性を報告することはおやめください。

報告には、次の内容を含めてください。

  • 問題の説明と、攻撃者がその問題を使って何をできるか
  • 再現に必要な正確な手順、URL、リクエスト(概念実証があると助かります)
  • 影響を受ける部分:ウェブサイトのページ、APIエンドポイント、ブラウザ拡張機能、WordPressプラグイン、SDK、ボット
  • クレジット(謝辞)の表記方法のご希望(不要の場合はその旨)

機械可読形式の連絡先情報は /.well-known/security.txt に掲載しています。

2. 当サービスの対応

  • 受領の連絡:5営業日以内
  • 最初の評価(再現できるかどうか、深刻度):10営業日以内
  • 修正または状況の報告:90日以内。深刻な問題は可能な限り早く修正し、多くの場合はそれよりずっと早く対応します。
  • 協調的開示:詳細を公開する前に、問題が修正されるか、90日が経過するまでお待ちください。公開日については、ご相談のうえ合意できればと考えています。

当サービスは少人数のチームですが、進捗を随時お知らせし、有効な報告を無視することはありません。

3. セーフハーバー

本ポリシーに従うよう誠実に努めていただいた場合、そのセキュリティ調査は許可されたものと見なします。そのことを理由に、法的措置をとったり、法執行機関へ通報したり、アカウントを停止したりすることはありません。本ポリシーに沿って行った調査について第三者から法的措置を受けた場合は、その調査が許可されたものであったことを当サービスから明らかにします。

誠実であるとは、次のことを守ることを指します。

  • テストは、ご自身のアカウントとご自身のアップロード、または使用許可を得たアカウントだけで行う
  • 他の人のデータ(アップロード、アカウント情報、メッセージ)に到達したらすぐに中止し、そのデータを保持・共有せず、アクセスした内容を当サービスに伝える
  • 他のユーザーに対するサービスの品質を低下させない(サービス拒否攻撃、大量の自動スキャン、スパムは行わない)
  • 当サービスのスタッフ、ユーザー、委託先に対して、ソーシャルエンジニアリング、フィッシング、物理的な攻撃を行わない
  • 公開する前に、修正のための妥当な時間を与える
  • 児童性的虐待コンテンツを含む違法なコンテンツを、どのような理由でもアップロードしない

ある行為が許されるかどうか迷う場合は、まず [email protected] までご相談ください。

4. 対象範囲

  • yourimageshare.com とそのサブドメイン(例:i.yourimageshare.com、status.yourimageshare.com)
  • 公開されているアップロードAPI、そのドキュメント、公式SDK、MCPサーバー
  • ブラウザ拡張機能、WordPressプラグイン、Telegramボット

お知らせいただきたい例:アカウント乗っ取り、認証・認可のバイパス、他の人の非公開またはパスワード保護されたアップロードへのアクセス、他のユーザーに影響するクロスサイトスクリプティング、データを変更する操作に対するクロスサイトリクエストフォージェリ、サーバーサイドリクエストフォージェリ、インジェクション、リモートコード実行、アップロードされたファイルの処理方法に関する問題。

5. 対象外の範囲

次の項目は、ユーザーへの実際の影響を示せない限り、脆弱性としては扱いません。

  • 実際に成立する攻撃を伴わない、HTTPヘッダー、Cookieのフラグ、TLS設定の欠落や「ベストプラクティス」上の指摘
  • SPF、DKIM、DMARCの設定に関する報告
  • 重要な操作がないページに対するクリックジャッキング
  • セルフXSS、または被害者の端末やブラウザへの完全なアクセスが必要な攻撃
  • 公開ページのレート制限、公開プロフィールを通じたユーザー名やメールアドレスの列挙
  • 確認・再現できた問題を伴わない、自動スキャナーによる報告
  • サービス拒否攻撃

6. 違法・不正なコンテンツはセキュリティ報告の対象外です

違法、不正、または利用規約に違反するアップロードを報告する場合は、そのアイテムにある報告ボタン、または報告フォームをご利用ください。これらの報告は、セキュリティ用のアドレスではなく、モデレーションチームが対応します。

7. 報奨とクレジット

有償のバグバウンティは実施していません。ご了承いただける場合は、下記の謝辞と、修正のリリースノートに、お名前(またはハンドルネーム)を記載して感謝をお伝えします。

8. 謝辞

セキュリティ上の問題を責任ある方法で報告してくださった、次の皆さまに感謝いたします。

  • クレジットされた報告はまだありません。