セキュリティと脆弱性の開示

私たちが約束すること

• 2営業日以内に受領を連絡します。返信がない場合は、メールが届かなかったものとして再送してください。
• 30日以内に修正または計画を示します。対象は、メッセージの閲覧、アカウントのなりすまし、ユーザーとその活動の結び付けを可能にするすべてのものです。
• 希望すればクレジットを、希望しなければ沈黙を。確認せずにお名前を出すことはありません。
• 法的な脅しは一切しません。他人のアカウントやデータを標的にしない、善意の調査が対象です。

報酬

確認された発見にはバグバウンティプログラムを通じて報酬が支払われます。重大な脆弱性には最大$500で、支払いは修正時ではなく確認時に行われます。報酬の区分、対象範囲、対象外となる既知の問題はすべてそこで公開しています。自らが文書化した欠陥にこっそり支払うようなプログラムは、プログラムとは言えないからです。

サポート対象のバージョン

セキュリティ修正は次回のApp Storeリリースで提供されます。PrivaMeshはiOS 18以降で動作し、メジャーバージョンを1つしかリリースしていないため、修正を移植する古いブランチはありません。これが変わったときは、サポート期間をほのめかすのではなく、ここに明記します。

修正済みの内容

2026年8月以降、外部からの報告が12件、内部監査が2回ありました。修正は完了していますが、まだどれもあなたの端末には届いていません。App Storeにあるバージョン1.1は、修正が書かれる前の8月13日にビルドされたもので、修正は次回のリリースでユーザーに届きます。それまでは、公開中のアプリにはそれらが修正する問題があるものと考えてください。修正ではなく文書化したものは既知の制限にあります。誰が何を報告したかは公開しません。

対象範囲

iOSクライアント、オンチェーンのプロトコル、そしてアーキテクチャのページで説明している手数料サービスはすべて対象です。サードパーティのインフラ（Solana自体、RPCプロバイダー、Apple）は私たちが修正できるものではありませんが、報告は歓迎します。設計が守る範囲の境界については、脅威モデルと既知の制限をご覧ください。