非公開脆弱性報告のレート制限Rate limits for private vulnerability reports
匿名の公開いいねです。記事の保存・お気に入りではなく、Featured、Top 3、重要度、掲載順位には影響しません。仕組みとプライバシーAnonymous public likes are reactions, not saved articles or bookmarks. They do not affect Featured, Top 3, importance, or listing order.How it works and privacy
- GitHubの非公開脆弱性報告に、報告者ごとの新規報告数を1日単位で制限する仕組みが導入されました。
- 管理者はリポジトリ全体の上限も設定でき、自動投稿や大量の低品質報告から保守者を守れます。
- GitHub now enforces daily per-user limits on new private vulnerability reports, with repository admins able to set an overall daily cap.
- The change helps maintainers filter bulk automated submissions while preserving access for legitimate researchers.
本ページの本文と要約は AI による自動生成です。日本語版と英語版は言語ごとに独立して生成されるため、表現や詳しさが異なる場合があります。正確性は元記事 (github.blog) をご確認ください。The body and summaries are AI-generated independently for each language, so wording and detail may differ. Verify accuracy at the original source (github.blog).
要約と収集メタデータに基づく AI 解説。元記事全文の転載・翻訳ではありません。AI explainer based on the summaries and collected metadata, not a copy or translation of the full source article.
非公開脆弱性報告
GitHubの非公開脆弱性報告に、報告者ごとの新規報告数を1日単位で制限する仕組みが導入された。低品質な報告や自動化された報告が増え、重要な報告が埋もれる状況から、オープンソースの保守者を守るための変更と説明されている。
1日単位の制限
レート制限は、単一のアカウントが1日に送信できる新規報告数に上限を設ける。対象となるのは各リポジトリへの報告と、GitHub全体での報告である。これにより、大量投稿や自動投稿を抑えつつ、正当な研究者は引き続き保守者へ報告できるとされる。
上限に達した報告者には、時間を置いて再試行するよう求めるメッセージが表示される。制限されるのは新規報告のみで、既存のアドバイザリに対するコメントは影響を受けない。
リポジトリ上限
リポジトリ管理者は、そのリポジトリで1日に受け付ける報告全体について、独自の上限を設定できる。報告者単位の制限に加え、リポジトリ全体の受付数も管理できるため、大量の低品質報告によって重要な報告の確認が妨げられる状況に対応できる。
信頼済み報告者
管理者は、信頼できる報告者を許可リストへ追加できる。許可リストに登録された報告者にはレート制限が適用されない。この設定により、自動化された大量投稿を制限しながら、信頼済みの報告者からの新規報告は上限の対象外にできる。
Private vulnerability reporting
GitHub has introduced daily per-user rate limits for new private vulnerability reports. The change matters because open source maintainers are receiving more low-quality and automated submissions, which can bury reports that matter.
The limits cap how many new reports a single account can submit during a day. They apply both to reports sent to an individual repository and to reports submitted across GitHub, helping protect maintainers from bulk and automated activity while keeping private vulnerability reporting available to legitimate researchers.
Daily per-user rate limits
When a reporter reaches a limit, GitHub displays a message asking them to try again later. The restriction applies only to the creation of new reports.
Comments on existing advisories are not affected. This means reaching the daily limit for new private vulnerability reports does not prevent a reporter from continuing a discussion on an advisory that already exists.
The distinction focuses the rate limits on repeated report creation rather than ongoing communication. New submissions are capped on a daily, per-user basis, while comments remain outside those limits.
Repository administrators
Repository administrators can set a custom daily overall reporting limit for their repository. This provides a repository-wide control in addition to the limits applied to each individual reporter.
Administrators can also add trusted reporters to an allow list. Accounts on that list are never rate limited, allowing administrators to preserve unrestricted reporting access for researchers they trust.
Together, the per-user limits, the repository-wide daily cap, and the trusted-reporter allow list give administrators controls for reducing bulk or automated submissions without applying the same restrictions to every reporter. The system limits only new reports and leaves comments on existing advisories unchanged.
ポコとTECHガイドPoko & TECH Guide
ポコと当サイトのTECHガイドが、記事の要約と収集した情報から読みどころを語るAI生成の対話です。Poko and TECH Dashboard's own TECH Guide discuss the article's highlights in an AI-generated conversation based on its summary and collected source details.
- ポコPoko1人が1日に送れる新規報告が制限されて、リポジトリ全体にも1日の上限を置けるんだ。これって大きい変化？New reports are now limited per user each day, and repositories can have a daily cap too. Is that a big change?
- TECHガイドTECH Guideこの記事では、低品質な報告や自動投稿に大事な報告が埋もれる問題への対策だね。大量投稿を抑えつつ、正当な研究者は連絡できるとしているよ。It addresses low-quality and automated submissions that can bury important reports. The goal is to curb bulk posting while keeping the channel open to legitimate researchers.
- ポコPoko「レート制限」って、報告を全部止めちゃう仕組み？Does “rate limiting” mean reports get blocked completely?
- TECHガイドTECH Guide一定の期間に送れる数へ上限を設ける仕組みだよ。今回は新規報告が1日の上限に達すると、後でもう一度試すよう表示されるんだ。It means setting a cap on how many submissions can be made within a period. Here, users who hit the daily limit are asked to try again later.
- ポコPokoぼくが管理者なら、全体の上限を決めつつ、信頼できる報告者は許可リストに入れたいな。そんな使い方？If I were an admin, I’d set an overall cap but allow trusted reporters through. Is that how it can work?
- TECHガイドTECH Guideそう使えるよ。制限は新規報告だけで、既存アドバイザリへのコメントは対象外、信頼する報告者は許可リストで制限外にできる。Yes. The cap applies only to new reports, not comments on existing advisories, and trusted reporters can be added to an allow list so they aren’t rate-limited.
