# セキュリティポリシー

## サポートされているバージョン

現在、以下のバージョンの Tree-sitter Analyzer がセキュリティアップデートのサポート対象となっています。

| バージョン | サポート状況       |
| ---------- | ------------------ |
| 1.9.x      | :white_check_mark: |
| 1.8.x      | :white_check_mark: |
| < 1.8.0    | :x:                |

## 脆弱性の報告

私たちは Tree-sitter Analyzer のセキュリティを真剣に受け止めています。セキュリティ上の脆弱性を発見した場合は、以下の手順に従ってください。

### 報告方法

1. セキュリティ上の脆弱性について、**公開の GitHub Issue を作成しないでください**。

2. **直接メールでご連絡ください**: aimasteracc@gmail.com
   - 件名: `[SECURITY] tree-sitter-analyzer vulnerability report`
   - 脆弱性に関する詳細をできる限り含めてください

3. **あるいは**、[GitHub のプライベート脆弱性報告](https://github.com/aimasteracc/tree-sitter-analyzer/security/advisories/new) を使用して報告を送信してください。

### 含めるべき内容

報告には以下の情報を含めてください：

- 脆弱性の説明
- 問題を再現する手順
- 脆弱性の潜在的な影響
- 修正案（もしあれば）
- フォローアップのための連絡先情報

### 対応のタイムライン

- **初期応答**: 報告受領から 48 時間以内
- **状況報告**: 評価を含めて 7 日以内
- **解決目標**: 重大な脆弱性は 30 日以内、その他は 90 日以内

### 期待されること

1. 脆弱性報告の受領を確認します
2. 報告された問題を調査し、検証します
3. 修正に取り組み、公開のタイムラインをあなたと調整します
4. あなたの貢献を公に認めます（匿名を希望される場合を除く）

### セーフハーバー

私たちは、このポリシーに従って行われるセキュリティ研究を以下のようにみなします：

- 適用されるハッキング防止法に関して承認されたもの
- 関連する回避防止法に関して承認されたもの
- セキュリティ研究を妨げる可能性のある利用規約の制限から免除されるもの

私たちは、このポリシーの偶発的で善意による違反に対して、民事訴訟を起こしたり、法執行機関に苦情を申し立てたりすることはありません。

## セキュリティのベストプラクティス

Tree-sitter Analyzer を使用する場合：

1. **最新の状態を保つ**: 常に最新の安定版を使用してください
2. **環境変数**: `TREE_SITTER_PROJECT_ROOT` を使用してファイルアクセスを制限してください
3. **パス検証**: ツールはファイルパスを検証し、ディレクトリトラバーサル攻撃を防ぎます
4. **入力のサニタイズ**: すべてのファイル入力は処理前にサニタイズされます

## セキュリティ機能

Tree-sitter Analyzer には、組み込みのセキュリティ対策が含まれています：

- **ディレクトリトラバーサル保護**: 許可されたディレクトリ外へのアクセスを防止します
- **ファイルサイズ制限**: 極端に大きなファイルによるサービス拒否（DoS）を防止します
- **入力検証**: すべての入力は処理前に検証されます
- **安全なデフォルト設定**: セキュリティに配慮したオプションには、保守的なデフォルト設定が使用されます

## 連絡先

一般的なセキュリティに関するお問い合わせは、aimasteracc@gmail.com までご連絡ください。

---

Tree-sitter Analyzer とそのユーザーの安全を守るためのご協力に感謝いたします！
