FIM One はセキュリティを真摯に受け止めています。脆弱性を発見した場合は、ぜひお知らせください。責任ある開示に対してクレジットを付与します。
脆弱性の報告
セキュリティ脆弱性について公開 GitHub Issue を開かないでください。 以下のプライベートチャネルのいずれかを使用してください。
- GitHub Security Advisories（推奨）— プライベートアドバイザリを作成してください。修正がリリースされるまで、メンテナーのみが表示できます。
- メール — security@fim.ai に詳細を送信してください。説明、再現手順、影響を受けるバージョン、および影響評価を含めてください。
低い重大度の問題（例：機密データを公開しないセキュリティヘッダーの欠落）の場合は、security ラベルを付けて通常の GitHub Issue を開くことができます。
対応タイムライン
スコープ
スコープ内
- 認証および認可のバイパス
- SQLインジェクション、コマンドインジェクション、またはコード実行
- クロスサイトスクリプティング（XSS）またはクロスサイトリクエストフォージェリ（CSRF）
- 認証情報またはAPIキーの露出
- ユーザー間またはオーガニゼーション間の権限昇格
- テナント境界を超えたデータ漏洩
対象外
- サードパーティの依存関係の脆弱性（上流に報告してください。Dependabotで監視しています）
- ソーシャルエンジニアリング攻撃
- 現実的な攻撃ベクトルのない サービス拒否（DoS）
- デモ/クラウド環境の問題で、セルフホスト型デプロイメントに影響しないもの
セルフホステッド セキュリティ ベストプラクティス
独自のインフラストラクチャで FIM One を実行している場合は、以下の推奨事項に従ってデプロイメントを強化してください。
これらのプラクティスは本番環境のデプロイメントに適用されます。ローカル開発の場合、デフォルト設定で問題ありません。
セキュリティ殿堂
確認された脆弱性報告者全員にクレジットを付与します（匿名を希望する場合を除く）。報告者はパイオニアプログラムの対象にもなります。
セキュリティポリシー全体
このページは主要なポイントをまとめています。完全なセキュリティポリシーについては、GitHubのSECURITY.mdを参照してください。 
