脆弱性のご報告について

報告の窓口

機微な内容を含む場合は、まず概要のみをお送りください。折り返し、安全な連絡手段をご案内します。

報告に含めていただきたい情報

• 影響を受ける URL、画面、API エンドポイント
• 脆弱性の種類（例：認可の不備、クロスサイトスクリプティング、情報漏洩）
• 再現手順。可能であればスクリーンショット、リクエストとレスポンスのログ、動作の記録
• 想定される影響の範囲
• 発見日時、使用したツールや環境
• ご連絡先（返信可能なメールアドレス）と、公表時にお名前を記載してよいかどうか

対応の流れ

受領の確認	報告を受けてから 3営業日以内 に、受領した旨をご連絡します
初期評価	受領から 10営業日以内 に、再現性の確認結果と深刻度の評価をご連絡します
修正	深刻度に応じて優先度を決め、対応の見通しをご連絡します。進捗は適宜共有します
完了の連絡	修正の適用後、報告者へご連絡します

影響が利用者のデータに及ぶと判断した場合は、法令および契約に従い、対象となる利用者へ速やかに通知します。

対象の範囲

対象に含まれるもの

• 本サービスの Web アプリケーションおよび管理画面
• 本サービスの API エンドポイント
• 本サービスの公開サイト（本ページを含む）

対象に含まれないもの

• Amazon、Supabase、Vercel、GitHub、Google 等、第三者が提供するサービス自体の脆弱性（各社の窓口へご報告ください）
• サービス妨害（DoS / DDoS）、および大量のトラフィックを発生させる検証
• ソーシャルエンジニアリング、フィッシング、当社役職員や取引先への物理的な接触
• 脆弱性を伴わない設定上の指摘のみのもの（メール認証レコードの設定、TLS の暗号スイート、セキュリティヘッダの有無など）。ただし、具体的な悪用手順を示していただける場合は歓迎します
• 自動スキャナの出力をそのまま送付したもので、影響の説明がないもの
• サポートが終了したブラウザ・OS に固有の事象

調査にあたって守っていただきたいこと

• ご自身が保有するアカウントとデータの範囲で検証してください。他の利用者のデータには一切アクセスしないでください
• データの破壊、改変、削除、および外部への持ち出しを行わないでください。アクセスできることの確認までにとどめてください
• サービスの停止や、他の利用者の運用に影響する行為を行わないでください
• 本サービスから取得した非公開の情報は、報告以外の目的に利用せず、対応完了後に破棄してください
• 修正が完了するまで、または最初の報告から90日が経過するまでは、内容の公表をお控えください。公表の時期についてはご相談に応じます

セーフハーバー

本ページに記載された範囲と方法に従って行われた善意の調査について、当社は、法的措置を取らず、また当社からの申し立てに基づく第三者からの措置についても、可能な限り調査者を保護するよう努めます。

意図せず範囲を超えてしまった場合でも、直ちに調査を中止し、その旨をご報告いただければ、善意の調査として取り扱います。

報奨金について

現時点で、金銭的な報奨金の制度は設けていません。ご希望に応じて、修正完了後にお名前（またはハンドル名）を謝辞として本ページに掲載します。

本ポリシーの改定

対応体制の変更に応じて本ページを改定することがあります。改定した場合は制定日を更新します。

制定日：2026年8月24日