セキュリティポリシー

セキュリティへの取り組み

要約すると

PhishDestroy 当社はセキュリティを重視しています。業界標準の対策によりインフラを保護しており、セキュリティ研究者による責任ある情報開示を歓迎しています。

当社は、システムおよび取り扱うデータを保護するため、多層的なセキュリティ対策を実施しています：

転送時の暗号化：すべての接続でTLS 1.2+（HTTPS）が使用されます。HSTSは、サブドメインを含め、max-ageを1年に設定して強制適用されます。
CDN & DDoS 保護：当社は、CDNおよびDDoSの対策層としてCloudflareを採用しています。Cloudflareは、WAF（Web Application Firewall）、レート制限、およびボット管理機能を提供します。
アクセス制御：管理者権限へのアクセスは役割ごとに制限され、多要素認証によって保護されており、監査のためにログが記録されます。
Content Security Policy：CSP ヘッダーはスクリプトの実行元を制限し、XSSやインジェクション攻撃を軽減します。
すべてのレスポンスに対して、X-Content-Type-Options、X-Frame-Options、Referrer-Policy、およびPermissions-Policyというセキュリティヘッダーが設定されます。
定期的なレビュー：コードベース、依存関係、およびインフラストラクチャの設定について、定期的にセキュリティレビューを実施しています。
入力のサニタイズ：すべての脅威レポートは信頼できないものとして扱われます。悪意のあるインジケーターを処理するために、厳格なサンドボックス化と多段階のサニタイズを採用しています。

当社のシステムにセキュリティ上の脆弱性を発見された場合は、責任ある形で報告してください。詳細については、当社の「責任ある開示ポリシー」をご覧ください。

セキュリティ上の問題を報告するには、abuse@phishdestroy.io までメールをお送りください。その際、以下の情報を記載してください：

暗号化された通信を行う場合は、/.well-known/pgp-key.txtに掲載されている当社の「PGP」キーをご利用ください。機械可読情報は、/.well-known/security.txtでご確認いただけます。

お客様が善意に基づいてセキュリティ上の問題を報告された場合、当社は以下のことをお約束します：

本セキュリティポリシーは、以下の対象に適用されます：

対象外：オペレーターに対するソーシャルエンジニアリング攻撃、物理的セキュリティ、サービス拒否（DoS）攻撃のテスト、およびサードパーティサービスにおける問題（GitHub、Telegram、Cloudflare）。