セキュリティ
報告先
件名に「Security」と入れて support@verdettoqr.com へ送ってください。同じアドレスはサイトの security.txt にもあります。見つけた内容、再現手順、対象のバージョンまたはページを書いてください。他の人のデータは含めず、他の人の端末やアカウントに対して試さないでください。
この範囲内で、他の人のデータや端末に触れずに行う誠実な調査は歓迎します。それに対して法的措置を取ることはありません。
その後の流れ
すべての報告を人が読みます。3 営業日以内の受領確認を目標にしています。
確認が済んだら、率直な回答を返します。それが何か、アプリ・サイト・安全リストのどれを変えるのか、修正がいつ出るのか。
詳細の公開までに 90 日をお願いしています。修正を先に端末へ届けるためです。もっと必要な場合は、その旨と理由をお伝えします。報告者の名前は、希望があればリリースノートに載せ、希望がなければ決して載せません。
対象範囲
Android アプリ、このウェブサイト、そして github.com/verdettoqr/link-safety-list の安全リストのパイプライン。読み取ったコードへの誤った結果、警告リストに載るべき（または載るべきでない）サイトやリンクは報告ページへ。アプリの「報告」操作がそのページを開きます。オンライン検索が到達するサービスはそれぞれの所有者のものです。そこでの問題はその所有者へ。
各部分の仕組み
読み取りと内蔵のすべてのチェックは端末上で動きます。新しい安全リストは署名付きのバンドルとしてダウンロードされ、アプリは使う前に署名と各ファイルのハッシュを確認します。確認に失敗したバンドルは捨てられ、最後に正常だったものが使われ続けます。アプリが自ら行う通信は、安全リストのダウンロードとオンライン検索の二つだけで、どちらも一つのスイッチの下にあります。Google Play の課金クライアントは起動時に支援購入を確認し、開くためにタップしたものはお使いのブラウザを通ります。検索が送るのは、読み取った番号またはアドレス（車両の場合はそこから求めた年式・メーカー・モデル）、アプリの名前とバージョン、当方のサポートアドレス、製品検索ではアプリの言語です。あなたや端末についてそれ以外は送りません。アプリにアカウントも解析もありません。脅威モデルと署名鍵の扱いは、ソースコードの公開時にともに公開されます。
決して言わないこと
コード、リンク、サイトが安全だということ。アプリは何を確認し何が見つかったかを示し、決めるのは端末を持つ人です。