# Security Policy

## サポートバージョン

| Version | Supported |
|---|---|
| 0.1.x   | ✅ |
| < 0.1   | ❌ |

## 脆弱性の報告

セキュリティ上の問題を発見した場合は、**Issue や Pull Request での公開報告は避け**、以下のメールアドレスへ直接ご連絡ください。

- **連絡先**：highdefinitionaudiodriver@gmail.com
- **対応 SLA**：ベストエフォート（個人開発のため即時対応はお約束できませんが、72時間以内に初動連絡を目指します）

報告に含めていただけると助かる情報：

- 影響を受けるバージョン / 環境
- 再現手順
- 想定される影響範囲（PII 漏洩・改ざん検知バイパス・権限昇格・HMAC 検証バイパス 等）
- 可能であれば修正案

## 本ツール固有のセキュリティ事項

- **JPKI 認証はモック実装**です（v0.1.x）。本番運用には JPKI 実カードへの接続実装と監査が必要です。
- **`AUTH_SECRET` / `EXPORT_HMAC_SECRET` は必ず個別に生成**してください（`openssl rand -base64 32`）。デフォルト値・サンプル値の流用は禁止です。
- **`/admin/*` への多層防御**：middleware (edge) + Server Component の `isAdmin()` + Server Action 内の再検証。バイパス報告は歓迎します。
- **AuditLog は append-only**：アプリケーションコード上、更新・削除メソッドを提供していません。
- **ローカル運用想定**：自治体内ネットワークでの利用を想定しています。インターネット公開時は別途レビューが必要です。
