다루는 대상.
협력적 공개 대상(범위 내):
https://login.modfolio.io— 인증 발급자https://account.modfolio.io— 관리자 대시보드https://connect.modfolio.io— 이 사이트- 게시된
@modfolio/connect-sdknpm 패키지 - 발급자의 문서화된 OIDC, SAML, SCIM, DPoP 동작 일체
범위 외:
- Cloudflare 자체 인프라 (Cloudflare에 직접 제보)
- Connect 를 지원하는 다른 서비스들 (각 서비스는 자체 공개 절차를 따름)
- 엣지 계층에서의 대량 트래픽 / DDoS / 무차별 대입(brute-force)
- 사회공학적 공격, 물리적 보안
- 이미 침해된 피해자를 전제로 하는 제보 (예: 공격자가 피해자의 입력을 제어하는 self-XSS)
- 실제 공격 경로 입증 없이 보안 헤더만 누락된 경우
제보 방법.
GitHub Security Advisories를 통해 비공개로 제보해 주세요. 이곳이 공식 채널입니다 — 제보자와 함께 쓰는 비공개 작업 공간을 제공하고, 재현 자료 첨부를 지원하며, 소스 코드에 연결된 감사 기록을 남깁니다. 별도의 이메일 주소는 공개하지 않으며, GitHub가 전송 구간 보안과 접근 제어를 처음부터 끝까지 처리합니다.
포함해 주세요:
- 영향을 받는 URL 또는 구성 요소
- 재현 절차
- 영향 (공격자가 무엇을 할 수 있는지)
- 감사 표기를 원하시면, 성함과 소속
기대할 수 있는 것.
| 단계 | 목표 시간 |
|---|---|
| 제보 접수 확인 | 영업일 기준 2일 이내ACK |
| 1차 분류 판단 (범위 내 / 범위 외) | 영업일 기준 5일 이내TRIAGE |
| 제보자와 완화 조치 일정 공유 | 14일(긴급) · 30일(높음) · 90일(중간)PLAN |
| 공개 발표 | 완화 조치 배포 후, 제보자와 협의하여 진행PUBLISH |
면책 보장(Safe harbor).
이 정책에 따라 성실하게(in good faith) 제보하는 연구자는, 테스트 과정에서 발생한 우발적 장애에 대해 Modfolio로부터 법적 조치를 받지 않습니다. 단, 다음을 지키는 경우에 한합니다:
- 개인정보 침해와 서비스 저하를 피하기 위해 성실히 노력할 것
- 본인 소유 계정 또는 본인이 생성한 테스트 계정에만 접근할 것
- 고객 데이터를 보관·유출·변경하지 않을 것
- 공개 발표 전에 합리적인 완화 조치 기간을 부여할 것
단일 출처에서 100 req/sec를 초과하는 공격적 자동 스캔은 성실한 행위로 보지 않으며, 공격으로 간주될 수 있습니다.
감사의 전당(Hall of fame).
유효한 취약점을 제보해 주신 연구자분들을 이곳에서 공개적으로 감사드립니다. (아직 공개된 제보는 없습니다.)
대체 연락 채널.
어떤 이유로든 GitHub Security Advisories를 사용할 수 없는 경우(계정 잠금, GitHub 장애 등), 저희에게 연락하는 데 필요한 최소한의 정보만 담아 이슈 트래커에 공개 이슈를 열어 주세요(취약점 악용 세부 정보는 포함하지 마세요). 담당자가 원하시는 채널로 연락드려 암호화된 세부 정보를 전달받겠습니다.
버그 바운티.
현재 금전적 포상금 프로그램은 운영하지 않습니다. 서비스가 그에 걸맞은 규모에 이르면 감사 표기, 굿즈, 비공개 프로그램 초대 등을 제공할 수 있습니다. 현재의 공개 관계는 유료 계약이 아니라 협력적 선의(goodwill)에 기반합니다.