グループが提供する各サービスの潜在的な脆弱性をご報告いただく場合は、下記のフォームから情報の提供をお願いいたします。

また、Eメール（vulnerability[ @ ]ml.mercari.com）でもご報告いただけます。重要度の高い・機微な情報が含まれるご報告の場合の場合、下記のPGP鍵をご利用ください。

脆弱性を適切に調査するために、ご報告の際には下記の情報を記載してご提出ください。

• お名前とEメールアドレス
• 脆弱性を確認したアプリのバージョンとOS（iOS、Android、Web）
• 脆弱性タイプとカテゴリー
• ご報告いただく脆弱性の詳しい内容
• 再現手順
  • 可能であれば、画面のスクリーンショットやビデオ
• PoC（Proof of Concept）
• 期待される正しい挙動、または回避方法
• 外部への報告（もし予定している場合）
  • 可能な限り迅速に脆弱性の修正に取り組んでおります。報告者の皆さまには修正が完了するまで外部への報告をお控えいただきますようお願い申し上げます。

セキュリティチームは、ご報告いただく脆弱性を大変重く捉えており、可能な限り迅速に対応し、脆弱性の検証、修正に努めております。

初期対応が完了次第、ご報告いただいた内容の検証・修正状況をご報告いたします。

脆弱性報告フォームを利用できない場合でも、重要度の高い・機微な情報が含まれる場合、Eメールで安全にご報告いただくために下記のPGP鍵をご利用ください。

※現在、脆弱性報奨金制度は設けておりません。従って、ご報告いただいた情報に報酬が支払われることはございません。有効な情報をご報告いたたいた方には、ご協力に感謝を込めノベルティ商品を提供させていただきます

本プログラムに関する脆弱性について、メルカリの明示的な同意なしに公開しないようお願いします。

現在、弊社では脆弱性報奨金制度を設けていないため、報告に対して報奨金が支払われることはございません。有効な報告に対しては、ご協力に感謝を込めノベルティグッズ（Tシャツなど）を提供させていただく場合もあります。

• 再現手順とともに詳細な報告を行うこと。情報不足で問題が再現できない場合は、報告は受理されません。
• 脆弱性ごとに報告書の提出をすること。ただし、問題の影響をより明確にするために、複数の脆弱性を1つの報告書に含めないといけない場合は例外とします。
• 同じ脆弱性に対する報告を複数いただいた場合（既に認識している問題に対する報告）は、最初に受理した報告のみをノベルティの対象とします（脆弱性が完全に再現できる場合に限ります）。
• ソーシャルエンジニアリング（フィッシング、ビッシング、スミッシング等）を用いた攻撃をしないこと。このような攻撃は脆弱性報告プログラムの対象外です。
• プライバシーの侵害、データの破壊、および当社サービスの中断や低下につながる行為は避けるよう十分に注意を払うこと。自身が所有するアカウント、または他のアカウント所有者の明確な許可を得たアカウントとのみをご利用ください。
• 資産やシステムの悪用の報告に関しては、悪用の可能性を証明するにとどめ、実際の悪用によるリスクを最小限に抑えること（例：SQLインジェクション等の問題が発見された場合、機密データを多量に抽出するのではなく、侵襲性が最も低い方法で実現可能性を示しすこと）。
• メルカリ、メルカリのお客さま・従業員に危害を与えるような行為を行わないこと。
• メルカリのサービスの中断や資産の低下につながるような行為を行わないこと。
• 不正取引を実施・助長しないこと。
• 個人を特定できる情報を共有、漏洩、晒さないこと。
• セキュリティリサーチ活動、および本プログラムへの参加に関して、適用法令を必ず遵守すること
• 脆弱性に関して第三者に連絡する前に、当社が報告内容について調査して回答するために十分な時間与えること。
• 当社の書面による事前の許可なく、潜在的および顕在的な脆弱性を第三者もしくは一般に公表しないこと。
• 提出された報告内容がメルカリの第三者のパートナーなどに関係する場合、メルカリは報告内容を該当する第三者のパートナーに送ることがあることを了承すること。
• プログラム対象外の脆弱性

脆弱性を報告する際は、（1）攻撃シナリオ・悪用可能性、（2）バグによるセキュリティへの影響度を考慮してご報告ください。

下記の項目は本プログラムの対象外となります：

• メルカリの財産（インフラ、施設、データセンター等）に対する物理的な攻撃
• メルカリの従業員や委託業者に対するソーシャル エンジニアリング（フィッシングを含む）
• 当社サービスの停止につながる可能性のある行為（DoS、DDoS等）
• 公式のパッチがリリースされてから30日未満の脆弱性に関する報告に関しては、謝礼の対象とするかを個別に判断します。
• 明確な影響がない、モバイルアプリケーションに埋め込まれたサードパーティのAPIキー・シークレット（多くのサードパーティはアトリビューション目的でこれを必要とするため）
• メルカリが提供するアプリ以外のアプリに関する問題
• メルカリアプリの旧バージョン(現在利用不可なバージョン)に関する問題
• ユーザー列挙攻撃：ユーザーを保護するレート制限を設けていないことが証明できる場合を除きます。
• パスワード再利用攻撃：ユーザーを保護するレート制限を設けていないことが証明できる場合を除きます。
• オープンリダイレクト
  • 単純なリダイレクトの悪用以上のセキュリティ上の影響が証明できる場合を除きます（例：フィッシングのためのリダイレクトの使用だけでは十分な影響があるとは言えません）。
• 壊れたリンクのハイジャック
  • 単純なリダイレクトの悪用以上のセキュリティ上の影響が証明できる場合を除きます（例：フィッシングのためのリダイレクトの使用だけでは十分な影響があるとは言えません）
• センシティブなアクションを伴わないページでのクリックジャッキング
• 悪用を証明するPoCが存在しないセキュリティヘッダーの欠如または誤設定（Content-Security-Policy、Referer-Policy、-XSS-Protection、X-Content-Type-Options、X-Frame-Options、HSTS等）
• ホストヘッダインジェクション：追加のセキュリティ上の影響が証明できる場合を除きます。
• 実用的なPoCが存在しない既知の脆弱なライブラリ
• TLS/SSLのバージョン、コンフィギュレーション、脆弱な暗号、もしくは期限切れの証明書
• 非セッションCookieにおけるHTTPOnly、もしくはSecureフラグの欠如
• コンテンツスプーフィングおよびテキストインジェクション：追加のセキュリティ上の影響が証明できる場合を除きます。
• 認証されていないフォームや、センシティブなアクションを伴わないフォームでのCSRF
• Self-XSS
• Autocompleteが有効となっていること
• Tab-nabbingが可能であること
• スパム
• 脆弱性が証明されていないCSV（Comma Separated Values）インジェクション
• Emailのベストプラクティスの欠如（無効、不完全、または欠落したSPF/DKIM/DMARCのレコード等）
• ソフトウェアバージョンの開示、バナー識別の問題、記述的なエラーメッセージまたはヘッダー（例：スタックトレース、アプリケーションまたはサーバーのエラー）。ただし、追加のセキュリティ上の影響を証明できる場合を除きます。
• リソースの過剰消費、DoS、不適切なコンテンツのアップロード等の明確な影響がない無制限のファイルアップロード
• 同形異義語、RTLO、もしくはその他のUIの問題
• GPSスプーフィング：追加のセキュリティ上の影響が証明できる場合を除きます。
• ブラックハットSEO手法の活用
• アカウントスクワッティング（特定のメールアドレスを使用してのユーザー登録を出来なくすることで実施）
• ユーザーが通常行うとは考えにくい操作を必要とする問題（ただし、追加のセキュリティ上の影響が証明できる場合を除きます）
• 自動化ツールや脆弱性スキャナーからの未確認・未分析の報告
• 認証されていないキャッシュのパージ
• 第三者の設定ミスと脆弱性

本ガイドラインに従って脆弱性の報告を行う限り、当社が報告者に対して法的措置を取ることはありません。本ガイドラインの違反があった場合、当社はすべての法的権利を留保します。本ポリシーに基づき行われた活動に関連して、第三者から報告者に対して法的措置が取られた場合、当社は報告者の行為が本ポリシーを遵守して行われたことを言明します。

責任ある報告、そしてメルカリのお客さまが安心・安全にサービスを利用できる環境の構築にご協力いただきありがとうございます。