脆弱性の報告
以下の内容を記載のうえ、security@digismoothie.com までメールでお知らせください。
- 問題の内容と想定される影響
- 再現手順（PoC があると助かります）
- 対象のアプリ、URL、またはエンドポイント
報告の受領確認は 5 営業日以内を目標としており、調査と修正の状況は随時お知らせします。
対象範囲
Digismoothie が公開しているすべての Shopify アプリと、それらを支えるウェブサイトおよびバックエンドサービスが対象です。
対象外：
- Shopify プラットフォーム自体の脆弱性 – Shopify のバグバウンティプログラム（HackerOne）からご報告ください
- 当社がエージェンシーとしてクライアント向けに構築した Shopify ストア、カスタムアプリ、連携機能（下記「クライアントプロジェクト」を参照）
- サービス拒否（DoS）攻撃、負荷テスト、スパム
- 当社チームやマーチャントを狙ったソーシャルエンジニアリングやフィッシング
- セキュリティ上の影響が実証されていない報告（例：自動スキャナーの出力結果、ヘッダーの欠如、メールの SPF/DMARC 設定）
テストのガイドライン
- テストはご自身の Shopify 開発ストアでのみ行ってください。
- ご自身のもの以外のデータにアクセスしたり、変更・削除したりしないでください。マーチャントや顧客のデータに遭遇した場合は、ただちに作業を中止し、当社までお知らせください。
- 公表する前に、当社が問題を修正するための十分な期間を設けてください。
クライアントプロジェクト
当社がエージェンシーとして構築する Shopify ストア、カスタムアプリ、連携機能はクライアントが所有・運営しているため、当社がそれらに対するセキュリティテストを許可することはできません。これらのプロジェクトで脆弱性を見つけた場合は、それ以上テストを行わず、発見した内容を security@digismoothie.com までご報告ください。修正についてはクライアントと調整いたします。
謝辞
当社では報奨金付きのバグバウンティプログラムは実施していませんが、責任ある報告には感謝しています。ご希望があれば、問題の解決後にお名前を公表してクレジットいたします。
マーチャントデータの保護
当社が講じている技術的・組織的措置は、データ処理契約の付属書 1 に記載されています。個人データの取り扱いについては、プライバシーポリシーをご覧ください。
セキュリティ責任者
セキュリティに関するお問い合わせは、CTO の Tomáš Buzek が統括しています。