このファイルは keroway アカウント配下で SECURITY.md を持たないリポジトリに適用される
既定のセキュリティポリシー。リポジトリ固有の事情（対応中の依存監査ワークフロー名、
サポート対象バージョンなど）がある場合は、そのリポジトリ直下に独自の SECURITY.md を
置いて上書きしてください（code-tactics/SECURITY.md が実例）。
公開 Issue では報告しないでください。 詳細が公開される前に修正を準備できるよう、 非公開の経路を使ってください。
- GitHub Private Security Advisory（推奨） — 対象リポジトリの
Securityタブ →Report a vulnerabilityから非公開で報告できます。 やり取りと修正の調整をこの場で完結できます。 - 上記が使えない場合は、リポジトリオーナー（GitHub: @keroway） へ連絡してください。
報告には以下を含めてください（分かる範囲で構いません）:
- 影響を受けるコンポーネントとバージョン / コミット
- 再現手順または PoC、想定される影響範囲
- 既知の回避策があれば
これらは個人のオープンソース開発であり、SLA を保証するものではありませんが、目安として:
- 受領確認: 数日以内を目標に応答します。
- 初期トリアージ: 影響範囲と深刻度を評価し、対応方針（修正 / 緩和 / 受容）を 報告者と共有します。
- 修正と公開: 修正後、GitHub Security Advisory として開示します。報告者の クレジット希望があれば記載します（匿名希望も可）。修正前の脆弱性詳細の公開は、 調整が済むまで控えていただけると助かります（coordinated disclosure）。
明記が無い限り、各リポジトリの main（既定ブランチ）最新版のみを対象とします。
過去バージョンへの個別バックポートは行いません。