セキュリティポリシー

セキュリティへの取り組み

インフラセキュリティ

当社は、システムおよび取り扱うデータを保護するため、多層的なセキュリティ対策を実施しています：

• 転送時の暗号化：すべての接続でTLS 1.2+（HTTPS）が使用されます。HSTSは、サブドメインを含め、max-ageを1年に設定して強制適用されます。
• CDN & DDoS 保護：当社は、CDNおよびDDoSの対策層としてCloudflareを採用しています。Cloudflareは、WAF（Web Application Firewall）、レート制限、およびボット管理機能を提供します。
• アクセス制御：管理者権限へのアクセスは役割ごとに制限され、多要素認証によって保護されており、監査のためにログが記録されます。
• Content Security Policy：CSP ヘッダーはスクリプトの実行元を制限し、XSSやインジェクション攻撃を軽減します。
• すべてのレスポンスに対して、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、およびPermissions-Policyというセキュリティヘッダーが設定されます。
• 定期的なレビュー：コードベース、依存関係、およびインフラストラクチャの設定について、定期的にセキュリティレビューを実施しています。
• 入力のサニタイズ：すべての脅威レポートは信頼できないものとして扱われます。悪意のあるインジケーターを処理するために、厳格なサンドボックス化と多段階のサニタイズを採用しています。

責任ある情報開示

当社のシステムにセキュリティ上の脆弱性を発見された場合は、責任ある形で報告してください。詳細については、当社の「責任ある開示ポリシー」をご覧ください。

脆弱性の報告

セキュリティ上の問題を報告するには、abuse@phishdestroy.io までメールをお送りください。その際、以下の情報を記載してください：

• この脆弱性の詳細な説明およびその潜在的な影響について。
• この問題を再現するための手順（URL、ペイロード、または概念実証コードを含む）。
• 今後の連絡について、ご希望の連絡方法をお知らせください。

暗号化された通信を行う場合は、/.well-known/pgp-key.txtに掲載されている当社の「PGP」キーをご利用ください。機械可読情報は、/.well-known/security.txtでご確認いただけます。

研究者に対する当社の取り組み

お客様が善意に基づいてセキュリティ上の問題を報告された場合、当社は以下のことをお約束します：

• 48時間以内に受領確認を行います。
• 弊社では、この件について速やかに調査を行い、随時ご報告いたします。
• 当社は、善意に基づいて行動する研究者に対しては法的措置を講じません。ただし、制裁対象の管轄区域や攻撃的な作戦については、この限りではありません。
• ご希望であれば、公にあなたの功績を記載いたします（あるいは匿名とすることも可能です）。
• 当社は、お客様と連携して、開示スケジュールを調整してまいります。

適用範囲

本セキュリティポリシーは、以下の対象に適用されます：

• phishdestroy.io のウェブサイトおよびすべてのサブドメイン。
• 「Destroy API」のウェブサイト（api.destroy.tools）。
• analyze.destroy.tools のドメインアナライザー。
• 当社の「Telegram」ボット（@PhishDestroy_bot）。
• 当社のデータ処理および保存システム。

対象外：オペレーターに対するソーシャルエンジニアリング攻撃、物理的セキュリティ、サービス拒否（DoS）攻撃のテスト、およびサードパーティサービスにおける問題（GitHub、Telegram、Cloudflare）。

インシデント対応

• 特定：インシデントを検知し、分類する。
• 封じ込め：さらなる被害を防ぐため、影響を受けたシステムを隔離する。
• 根絶：脅威を取り除き、脆弱性に対する修正パッチを適用する。
• 復旧：サービスを復元し、整合性を確認する。
• 事後検証：得られた教訓を文書化し、防御体制を強化する。

お問い合わせ

• メールアドレス：abuse@phishdestroy.io
• PGP key: /.well-known/pgp-key.txt
• security.txt: /.well-known/security.txt