セキュリティ上の問題を発見した場合は、公開 issue を立てず、以下の方法でプライベートに連絡してください:

• GitHub の "Security" タブから "Report a vulnerability" (Private vulnerability reporting)
• もしくはリポジトリ owner (@risingore) に DM

24〜72 時間以内に初動 ack を返します。

修正リリース後、CVE 取得 (該当する場合) と同時に public advisory を公開します。

最新の main ブランチのみサポートします。古いバージョンへのバックポートは原則行いません。

このプロジェクトでは:

• .env および .env.* ファイルは git ignore 済み
• .env.example のみコミット (キー名のみ、値は空)
• API キー / トークン / パスワードはコードにリテラルで書かない (環境変数経由のみ)

詳細は .claude/rules/config-and-secrets.md を参照。