脆弱性の発見、報告にご協力いただきありがとうございます。

メルカリではプロダクトにおける安心安全の確保を最優先に位置付けています。

メルカリのサービスに脆弱性を発見した際には下記のフォームを利用してできるだけ早くご報告ください。報告の際はメルカリの開示ガイドラインに従ってください。

報告をメールで送信する場合はvulnerability[ @ ]ml.mercari.comまでご連絡ください。機密情報の含まれるレポートについては以下のPGPキーを使用して暗号化を行ってください。

私たちはすべての情報開示を真摯に受け止め、脆弱性を迅速に確認し、報告者への対応に全力を尽くします。セキュリティチームは確認された脆弱性をなるべく早く修正するための措置を講じ、修正作業の進行状況を報告者に報告します。メルカリグループから明確な同意がない限り、このプログラムで特定された脆弱性を第三者に開示しないようお願いします。

• 再現手順とともに詳細な報告を行ってください。
  再現に必要な情報が不足しているレポートは受け付けられません
• 脆弱性ごとにひとつの報告書提出をお願いします。ただし、問題の影響をより明確にするために複数の脆弱性を1つの報告書に含める必要がある場合は例外とします

各脆弱性について徹底的な調査を行うために、次の内容をレポートに含めてください

• お名前と連絡用のメールアドレス
  • この情報をもとに、脆弱性に関する詳細についてご連絡する場合があります
• 該当するアプリのバージョンとOS（iOS、Android、Web）
• 脆弱性の種類とカテゴリー
• 脆弱性に関する詳細
• 問題を再現するための手順
  • 可能であれば、スクリーンショットや動画を添付してください
• 実証実験（PoC）
• 期待される正しい挙動や会費方法
• 外部への報告（もし予定している場合）
• 脆弱性の修正にはできる限り迅速に取り組む予定です。修正が完了するまでは開示を控えるようお願いします

• メルカリグループからの明確な同意がない限り、このプログラムで特定された脆弱性を第三者に開示しないこと
• セキュリティの調査活動や本プログラムへの参加において、必ず適用法令を遵守すること
• 脆弱性を第三者に開示する前に、報告内容についてメルカリが調査するための十分な時間を確保すること
• 提出されたレポートがメルカリの社外ベンダーに関係する可能性がある場合、または実際に関係する場合、メルカリはレポートを関連当事者に転送する権利を有する
• ソーシャルエンジニアリング（フィッシング、ビッシング、スミッシング等）は禁止されており、脆弱性報告プログラムの対象外とする
• 脆弱性の確認に必要な範囲を超える利用や悪用は行わないこと
• メルカリグループ、メルカリのお客さま、従業員に危害を与えるような行為は行わないこと
• メルカリグループのサービスや資産に悪影響を及ぼす可能性のある行為は行わないこと
• 自身が所有していないアカウントとのやり取りは行わないこと 
• 不正取引を開始、または助長しないこと
• 個人を特定できる情報（PII）や財務情報などの機密情報を発見した場合は、それ以上の調査を行わず、直ちに連絡すること。また、機密情報を第三者に開示しないこと
• メルカリシステムからのデータの持ち出し、変更、削除を行わないこと。また、システムに改変を加えないこと

脆弱性を報告する際は（1）攻撃シナリオ・悪用の可能性、（2）脆弱性によるセキュリティへの影響度を考慮してください。下記に該当する場合は本プログラムの対象外とします：

• メルカリの財産（インフラ、施設、データセンター等）に対する物理的な攻撃
• メルカリの従業員や委託業者に対するソーシャルエンジニアリング（フィッシングを含む）
• メルカリグループのサービスの停止につながる可能性のある行為（DoS、DDoS等）
• 公式パッチをリリースしてから30日未満の、すでに公表しているゼロデイ脆弱性。当該の報告に関しては謝礼の対象とするかは個別に検討
• 明確な影響が認められない、モバイルアプリケーションに埋め込まれたサードパーティのAPIキー・シークレット（多くのサードパーティはアトリビューション目的でこれを必要とするため）
• メルカリが直接保有していないアプリケーションに関する問題
• メルカリアプリの旧バージョンに関する問題
• ユーザー列挙攻撃：ユーザーを保護するレート制限を設けていないことが証明できる場合を除く
• パスワード再利用攻撃：ユーザーを保護するレート制限を設けていないことが証明できる場合を除く
• オープンリダイレクト：単純なリダイレクトの悪用を超えるセキュリティ上の影響が証明できる場合を除く（例：フィッシングのためのリダイレクトの使用のみでは影響として不十分とみなす）
• 無効リンクのハイジャック：単純なリダイレクトの悪用を超えるセキュリティ上の影響が証明できる場合を除く（例：フィッシングのためのリダイレクトの使用のみでは影響として不十分とみなす）
• センシティブなアクションを伴わないページでのクリックジャッキング
• 悪用を証明するPoCが存在しないセキュリティヘッダーの欠如または誤設定（content-security-policy、public-key-pins、x-xss-protection、x-content-type-options、x-frame-options、HSTS等）
• Hostヘッダインジェクション：追加のセキュリティ上の影響が証明できる場合を除く
• 実用的なPoCが存在しない既知の脆弱なライブラリ
• コンテンツセキュリティポリシーにおけるベストプラクティスの欠如
• TLS/SSLのバージョン、コンフィギュレーション、脆弱な暗号、もしくは期限切れの証明書
• 非セッションCookieにおけるHTTPOnly、もしくはSecureフラグの欠如
• 認証されていないフォームや、センシティブなアクションを伴わないフォームでのCSRF（クロスサイトリクエストフォージェリ）
• センシティブなアクションを伴わないフォームでのCAPTCHAの欠如
• SMS OTPやその他認証方法をバイパスせず、ログインフォームに対して行われるブルートフォース攻撃
• Self-XSS
• 自動補完が有効になっていること
• Tab-nabbingが可能であること
• スパム
• 脆弱性が証明されていないCSV（Comma Separated Values）インジェクション
• Emailのベストプラクティスの欠如（SPF/DKIM/DMARCのレコードが無効、不完全、または欠落している場合など）
• ソフトウェアバージョンの開示、バナー識別の問題、記述的なエラーメッセージまたはヘッダー（例：スタックトレース、アプリケーションまたはサーバーのエラー）。ただし、追加のセキュリティ上の影響を証明できる場合を除く
• リソースの過剰消費、DoS、不適切なコンテンツのアップロード等の明確な影響がない無制限のファイルアップロード
• 同形異義語、RTLO、もしくはその他のUIの問題
• GPSスプーフィング：追加のセキュリティ上の影響が証明できる場合を除く
• ブラックハットSEO手法の活用
• アカウントスクワッティング（特定のメールアドレスを使用してのユーザー登録を出来なくすることで実施）
• ユーザーが通常行うとは考えにくい操作を必要とする問題（追加のセキュリティ上の影響が証明できる場合を除く）
• 自動化ツールや脆弱性スキャナーから生成された、実際の影響が未確認の報告
• 認証されていないキャッシュの削除
• サードパーティサービスにおける設定の不備や脆弱性

脆弱性報告フォームを利用できない場合や、メルカリとのメール通信を安全に行いたい場合は以下のPGPキーを使用してください。

脆弱性レポートに対する報奨の提供は現在行なっていません。しかし、有効な報告に対しては感謝の気持ちとしてノベルティグッズ（Tシャツ、パーカーなど）を提供させていただく場合があります。

こちらでコントロール不可能な要因（例：現地の輸入規制、配送制限、国際的な物流の問題）により、特定の国にはお礼の品を届けられない場合があることをご了承ください。

同じ脆弱性に対する報告を複数いただいた場合（既に認識している問題に対する報告）は、最初に受理した報告のみにお礼を提供させていただきます。（脆弱性が完全に再現できる場合に限ります。

上記の責任ある開示のガイドラインを守って脆弱性を報告していただく限り、メルカリグループはその活動に対して法的措置をとることはありません。 しかし、これらガイドラインが守られていない場合、メルカリグループはすべての法的権利を行使することができるものとします。本ポリシーに基づき行われた活動に関連して第三者から報告者に対して法的措置が取られた場合、メルカリは報告者の行為が本ポリシーを遵守して行われたことを言明します。

責任ある開示、そしてメルカリのお客さまが安心・安全にサービスを利用できる環境の構築にご協力いただきありがとうございます！