보안 및 책임 있는 취약점 공개

최종 업데이트: 2026년 5월 9일

당사의 보안 약속

Keigo는 이메일, 결제 정보(Stripe를 통해 처리), 업로드된 문서(비자, 세금, 신분증), AI 대화 기록 등 사용자 데이터를 다룹니다. 저희는 보안을 매우 중요하게 여기며, 사용자 보호에 도움을 주시는 연구자분들의 제보를 환영합니다.

취약점 신고 방법

보안 문제를 발견하셨다면 공개적으로 알리지 마시고 저희에게 비공개로 이메일을 보내주세요. 48시간 이내 응답, 영업일 기준 5일 이내 검토를 목표로 하며, 심각도에 따라 문제를 해결합니다.

GPG 키는 요청 시 제공됩니다. 재현 절차, 영향을 받은 URL, 그리고 크레딧을 원하시면 사용자명을 함께 알려주세요.

테스트 대상 범위 (테스트해주세요)

인증 절차, 세션 관리, 계정 잠금, 비밀번호 재설정

Stripe 결제 및 웹훅, 구독 상태, 플랜 접근 제어

S3 문서 업로드/다운로드, 사전 서명된 URL 처리, ZIP 내보내기

테스트 제외 범위 (삼가주세요)

DoS / DDoS / 대량 트래픽 공격 (속도 제한을 사용하고 있으며 이는 예상된 사항입니다. 의도적인 과부하 유발은 금지됩니다)

직원, 협력업체, 최종 사용자를 대상으로 한 사회공학적 공격

인프라 또는 사무실에 대한 물리적 공격

다른 사용자 계정의 데이터 열람(본인 소유의 테스트 계정을 사용하세요. 실수로 타인의 데이터에 접근했다면 즉시 신고하고 삭제해 주세요)

우리의 약속

본 정책을 성실히 준수하고, 문제를 입증하는 데 필요한 것보다 더 많은 데이터에 접근하지 않으며, 공개 전 수정할 수 있도록 합리적인 시간(표준 90일)을 제공하고, 해당 문제를 이용해 Keigo나 사용자에게 피해를 주지 않는 연구자에게는 법적 조치를 취하지 않습니다.

크레딧 및 보상

저희는 아직 정식 버그 바운티 프로그램을 운영할 예산이 없는 소규모 팀입니다. 대신 다음을 제공합니다.

— 확인된 고유 취약점에 대해 이 페이지에 공개 크레딧 표기(동의 시)

— Keigo 계정의 The Vault 평생 무료 이용

— 진심 어린 감사 — 여러분의 노력은 일본에 사는 외국인 커뮤니티를 더 안전하게 만드는 데 직접적으로 기여합니다.

문서 보호 방법

도쿄 서버에서 저장 시 암호화 (AES-256)

HTTPS/TLS를 통해 전송 중 암호화

비공개, 시간 제한 링크를 통해 열림 — 절대 공개되지 않음

각 계정의 파일은 다른 모든 계정과 격리됨

Snap & Sort로 분석한 사진은 분석 후 보관되지 않습니다