보안 정책 및 책임 있는 공개

1. 범위

2. 현재 안내하는 보안 운영 기준

• 계정 요청은 Firebase 인증 토큰을 통해 검증될 수 있습니다.
• 결제 카드 정보는 Footage Manager 시스템에 전체 카드번호를 저장하는 방식이 아니라 Lemon Squeezy 결제 화면 및 관련 결제 인프라를 통해 처리됩니다.
• 라이선스, 결제 및 서비스 비밀 정보는 서버 측에서 처리되도록 운영합니다.
• 부정 이용을 줄이고 사고를 조사하기 위해 요청 빈도 제한, 실패 기록, 로그 및 운영 점검을 사용할 수 있습니다.
• 운영 데이터 접근 권한은 서비스 운영, 지원, 결제, 보안 또는 준수 업무에 필요한 사람으로 제한되어야 합니다.

3. 취약점 신고

• 영향을 받는 URL, 엔드포인트, 앱 버전, 계정 영역 또는 다운로드·업데이트 경로
• 재현 단계, 예상 결과 및 실제 결과
• 잠재적 영향 및 데이터 노출 가능성
• 필요한 경우 스크린샷, 요청 ID, 발생 시각 또는 짧은 개념 증명 정보
• 후속 연락을 위한 안전한 연락 방법

4. 책임 있는 테스트 규칙

• 본인에게 속하지 않은 데이터에 접근, 수정, 삭제, 복사 또는 공개하지 마십시오.
• 서비스 거부 테스트, 스팸, 크리덴셜 스터핑(유출된 계정 정보 대입), 무차별 대입 공격, 사회공학 또는 물리적 공격을 수행하지 마십시오.
• 결제 사기, 대규모 구독 우회 또는 Lemon Squeezy, Firebase, AWS, Google 및 기타 서비스 제공자의 서비스 방해를 시도하지 마십시오.
• 개인정보, 비밀 정보, 비공개 파일 또는 서비스 불안정을 발견하면 테스트를 중단하고 즉시 신고해 주십시오.
• 회사가 신고 내용을 검토하고 조치할 합리적인 기회를 갖기 전에는 세부 내용을 공개하지 마십시오.

5. 일반적으로 범위 밖인 항목

• 입증된 영향이 없는 자동 검사 도구의 결과
• 현실적인 악용 경로가 없는 보안 헤더 또는 쿠키 보안 설정 누락
• 이미 손상된 기기, 손상된 이메일 계정, 루팅된 운영체제 또는 기기에서 이미 실행 중인 악성코드가 있어야 발생하는 문제
• 민감한 상태 변경 작업이 없는 페이지의 클릭재킹 또는 로그아웃 CSRF
• 해당 서비스 제공자에게 직접 신고해야 하는 전체 서비스 장애 또는 취약점

6. 신고 후 절차