有料のAuth0サブスクリプションをご利用の場合は、事前承認を得ることで、Auth0のインフラストラクチャ (例: your-tenant.auth0.com) を含むアプリケーションに対するセキュリティテストを実施できます。
セキュリティテストを実施する場合は、事前に Support Center からご連絡ください。Auth0 では、テストの開始予定日の少なくとも 7 日前までに通知していただく必要があります。
テストがお客様のインフラストラクチャに限定されている場合 (つまり、Auth0 のサービスに対するテストを行わない場合) は、Auth0 への通知は不要です。
テスト実施の承認を申請する際は、サポートチケットに以下の情報を記載してください。
- テストの具体的な日時とタイムゾーン。変更凍結期間中はテストを実施できません。詳しくは、以下の変更凍結に関するペネトレーションテストポリシーをご確認ください。
- テストの範囲と目的
- テストの送信元となる IP アドレス
- 使用予定のツール
- 1 秒あたりのリクエスト数 (テストは Rate Limit Policy に準拠している必要があります)
- 対象となる Auth0 テナント
- 連絡先 2 名の電話番号とメールアドレス - テスト期間中を通して、当社からの連絡に対応できる方。不明点がある場合、当社は合理的な範囲でご連絡を試みます。ご連絡がつかない場合、当社はサービスを保護するために必要な措置を講じる権利を留保します。これには、お客様のテナントおよび/または侵入トラフィックの発信元の停止またはブロックが含まれる場合があります。
変更凍結期間中は、ペネトレーションテストは実施できません。
- テストはお客様のテナントのみに限定すること
- 1秒あたりのテストリクエスト数が、当社のRate Limit Policyで定義されている上限を超えないこと
- 疑わしい点を発見した場合は、説明や協議のためにAuth0 Securityチームへ報告すること
発見された脆弱性を報告する場合は、脆弱性報告ポリシーをお読みください。
- テナント や space に対して、いかなる形式のサービス拒否 (DoS) テストや、許可されていない大量トラフィック攻撃も実施してはなりません。詳細は、負荷テストを参照してください。
- 当社の管理ダッシュボードを対象とするペネトレーションテストは実施できません。Management API と Authentication API は対象に含まれません。
- 当社が承認していない テナント を対象とするペネトレーションテストは実施できません。
Private Cloudのお客様は、Auth0 Support Centerを通じてペネトレーションテスト実施の許可も申請してください。サポートリクエストには、上記の情報も含めてください。
認証
ユーザー管理
カスタマイズ
プラットフォーム