グループが提供する各サービスの潜在的な脆弱性をご報告いただく場合は、下記のフォームから情報の提供をお願いいたします。
※Jiraアカウントが必要です
また、Eメール（security[ @ ]mercari.com）でもご報告いただけます。送信時は、下記のPGP鍵をご利用ください。

脆弱性を適切に調査するために、ご報告の際には下記の情報を記載してご提出ください。

• お名前とEメールアドレス
• 脆弱性を確認したアプリのバージョンとOS（iOS、Android、Web）
• 脆弱性タイプとカテゴリー
• ご報告いただく脆弱性の詳しい内容
• 再現手順
  • 可能であれば、画面のスクリーンショットやビデオ
• PoC（Proof of Concept）
• 期待される正しい挙動、または回避方法
• 外部への報告（もし予定している場合）
  • 可能な限り迅速に脆弱性の修正に取り組んでおります。報告者の皆さまには修正が完了するまで外部への報告をお控えいただきますようお願い申し上げます。

セキュリティチームは、ご報告いただく脆弱性を大変重く捉えており、可能な限り迅速に対応し、脆弱性の検証、修正に努めております。
初期対応が完了次第、ご報告いただいた内容の検証・修正状況をご報告いたします。

脆弱性報告フォームを利用できない場合でも、Eメールで安全にご報告いただくために、下記のPGP鍵をご利用ください。

※現在、脆弱性報奨金制度は設けておりません。従って、ご報告いただいた情報に報酬が支払われることはございません。有効な情報をご報告いたたいた方には、ご協力に感謝を込めノベルティ商品を提供させていただきます

本プログラムに関する脆弱性について、メルカリの明示的な同意なしに公開しないようお願いします。

現在、弊社では脆弱性報奨金制度を設けていないため、報告に対して報奨金が支払われることはございません。有効な報告に対しては、ご協力に感謝を込めノベルティグッズ（Tシャツ、パーカーなど）を提供させていただく場合もあります。

• 再現手順とともに詳細な報告を行ってください。情報不足で問題が再現できない場合は、報告は受理されません。
• 脆弱性ごとに報告書の提出をお願いします。ただし、問題の影響をより明確にするために、複数の脆弱性を1つの報告書に含めないといけない場合は例外とします。
• 同じ脆弱性に対する報告を複数いただいた場合（既に認識している問題に対する報告）は、最初に受理した報告のみをノベルティの対象とします（脆弱性が完全に再現できる場合に限ります）。
• ソーシャルエンジニアリング（フィッシング、ビッシング、スミッシング等）を用いた攻撃は禁止されており、脆弱性報告プログラムの対象外となっています。
• プライバシーの侵害、データの破壊、および当社サービスの中断や低下につながる行為は避けるよう誠実な取り組みをお願いいたします。自身が所有するアカウント、または他のアカウント所有者の明確な許可を得たアカウントとのみやり取りを行ってください。
• 資産やシステムの悪用の報告に関しては、悪用の可能性を証明するにとどめ、実際の悪用によるリスクを最小限に抑えてください（例：SQLインジェクションなどの問題が発見された場合、機密データを多量に抽出するのではなく、侵襲性が最も低い方法で実現可能性を示しす程度でお願いします）。
• メルカリ、メルカリのお客さま・従業員に危害を与えるような行為は行わないこと。
• メルカリのサービスの中断や資産の低下につながるような行為は行わないこと。
• 不正取引を実施・助長しないこと。
• 個人を特定できる情報を共有、漏洩、晒さないこと。
• セキュリティリサーチ活動、および本プログラムへの参加に関して、適用法令を必ず遵守してください。
• 脆弱性に関して第三者に連絡する前に、当社が報告内容について調査する十分な時間をください。
• 当社の書面による事前の許可なく、潜在的および顕在的な脆弱性を第三者もしくは一般に公表してはいけません。
• 提出された報告書がメルカリの第三者ベンダーに潜在的に、または実際に関係する場合、メルカリは報告書を関連当事者に転送する権利を留保します。

脆弱性を報告する際は、（1）攻撃シナリオ・悪用可能性、（2）バグによるセキュリティへの影響度を考慮してください。下記の問題は本プログラムの対象外となります：

• メルカリの財産（インフラ、施設、データセンター等）に対する物理的な攻撃
• メルカリの従業員や委託業者に対するソーシャル エンジニアリング（フィッシングを含む）
• 当社サービスの停止につながる可能性のある行為（DoS、DDoS等）
• 公式パッチをリリースしてから30日未満のすでに公表しているゼロデイ脆弱性の報告に関しては、謝礼の対象とするかは個別に検討します。
• 明確な影響がない、モバイルアプリケーションに埋め込まれたサードパーティのAPIキー・シークレット（多くのサードパーティはアトリビューション目的でこれを必要とするため）
• メルカリが提供するアプリ以外のアプリに関する問題
• メルカリアプリの旧バージョン(現在利用不可なバージョン)に関する問題
• ユーザー列挙攻撃：ユーザーを保護するレート制限を設けていないことが証明できる場合を除きます。
  • パスワードリユースアタック：ユーザーを保護するレート制限を設けていないことが証明できる場合を除きます。
• オープンリダイレクト
  • 単純なリダイレクトの悪用以上のセキュリティ上の影響が証明できる場合を除きます（例：フィッシングのためのリダイレクトの使用だけでは十分な影響があるとは言えません）。
• センシティブなアクションを伴わないページでのクリックジャッキング
• 悪用を証明するPoCが存在しないセキュリティヘッダーの欠如または誤設定（content-security-policy、public-key-pins、x-xss-protection、x-content-type-options、x-frame-options、HSTS等）
• ホストヘッダインジェクション：追加のセキュリティ上の影響が証明できる場合を除きます。
• 実用的なPoCが存在しない既知の脆弱なライブラリ
• コンテンツセキュリティポリシーにおけるベストプラクティスの欠如
• TLS/SSLのバージョン、コンフィギュレーション、脆弱な暗号、もしくは期限切れの証明書
• 非セッションCookieにおけるHTTPOnly、もしくはSecureフラグの欠如
• コンテンツスプーフィングおよびテキストインジェクション：追加のセキュリティ上の影響が証明できる場合を除きます。
• 認証されていないフォームや、センシティブなアクションを伴わないフォームでのCSRF（クロスサイトリクエストフォージェリ）
• Self-XSS
• Autocomplete有効
• Tab-nabbing
• スパム
• 脆弱性が証明されていないCSV（Comma Separated Values）インジェクション
• Emailのベストプラクティスの欠如（無効、不完全、または欠落したSPF/DKIM/DMARCのレコード等）
• ソフトウェアバージョンの開示、バナー識別の問題、記述的なエラーメッセージまたはヘッダー（例：スタックトレース、アプリケーションまたはサーバーのエラー）。ただし、追加のセキュリティ上の影響を証明できる場合を除きます。
• リソースの過剰消費、DoS、不適切なコンテンツのアップロード等の明確な影響がない無制限のファイルアップロード
• 同形異義語、RTLO、もしくはその他のUIの問題
• GPSスプーフィング：追加のセキュリティ上の影響が証明できる場合を除きます。
• ブラックハットSEO手法の活用
• アカウントスクワッティング（特定のメールアドレスを使用してのユーザー登録を出来なくすることで実施）
• リファラーポリシーの欠如
• ユーザーとの対話の必要性が低い問題（追加のセキュリティ上の影響が証明できる場合を除きます）
• 自動化ツールや脆弱性スキャナーからの未確認の報告

本ガイドラインに従って脆弱性の報告を行う限り、当社が報告者に対して法的措置を取ることはありません。本ガイドラインの違反があった場合、当社はすべての法的権利を留保します。本ポリシーに基づき行われた活動に関連して、第三者から報告者に対して法的措置が取られた場合、当社は報告者の行為が本ポリシーを遵守して行われたことを言明します。

責任ある報告、そしてメルカリのお客さまが安心・安全にサービスを利用できる環境の構築にご協力いただきありがとうございます。