このページは参考のための翻訳です。英語版と内容が異なる場合は、英語版が優先されます。 英語版を読む
責任ある脆弱性開示
セキュリティ上の問題を見つけましたか？手遅れになる前に、まず私たちにお知らせください。
私たちは外部の研究者の方からの報告を真摯に受け止めており、事後に公開された記事で知るよりも、直接ご連絡をいただきたいと考えています。このページでは、対象範囲、報告方法、そして報告後にご期待いただける対応についてご説明します。
対象範囲
このポリシーの対象範囲
対象範囲
- myshieldid.com、myshieldid.com/us にある米国向けページ、転送用ドメインの shieldid.ca と myshieldid.ca、およびそれらのサブドメイン(マーケティングサイト、認証フロー、アカウントポータルを含む)
- 公開されている ShieldID API
- ShieldIDが運用するあらゆるシステムの認証、セッション管理、アクセス制御
対象外
- 当社が運用していない製品やサイト(ShieldIDを利用している場合も含みます。RentKey、Crown Ledger、Trust Ledger にはそれぞれ独自のセキュリティ連絡先があります)
- 当社が連携しているサードパーティのサービス(当社の利用方法に起因する問題を除きます)
報告方法
メールでご連絡ください。先に公開の課題登録や投稿をすることはお控えください。
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
次の内容をご記載ください:
- 問題の種類と、影響を受けるURL、エンドポイント、またはシステム
- 再現手順、または概念実証(PoC)
- アクセスできた内容や達成できた内容、およびそれをどのように確認したか
- 使用したツールやスクリプト(お手順を正確に再現できるようにするため)
私たちがお約束すること
受領の連絡、真摯な調査、そして誠実な調査に対する法的措置を取らないこと。
受領の連絡
有効な報告については、受領から3営業日以内に受領の連絡をすることを目標としています。これは公に掲げる目標であり、実測した平均値ではありません。
真摯な調査
すべての報告は、対応できる担当者が確認します。どこにも届かないフォームで振り分けられることはありません。
誠実な調査に対する法的措置は取りません
このポリシーの対象範囲内で、問題を示すために必要な範囲を超えてデータにアクセス、改変、持ち出しをすることなく、誠実に脆弱性を発見して報告していただいた場合、その調査について法的措置を取ることはありません。
現時点ではバグバウンティはありません
現在、報酬付きのバグバウンティプログラムは実施していません。お約束できない報酬をお約束することはいたしませんが、お送りいただいた内容を読み、対応することはお約束します。
対象外
報告にあたり、以下の行為はお控えください。
- 当社の従業員、委託先、またはお客様に対するソーシャルエンジニアリング
- 当社のオフィスやインフラへの物理的なアクセスの試み
- サービス拒否(DoS)テスト、または実際の申請者に対するサービスを低下させる行為
- 事前の相談なく行う、他のユーザーに影響を及ぼす可能性のある規模の自動スキャン
- 問題を示すために必要な範囲を超えて、他人のデータにアクセス、改変、または削除すること
- スパム、フィッシング、またはシステムではなく当社スタッフ自身の判断を試そうとするあらゆる行為
セーフハーバー
このポリシーの範囲内で誠実に行われた調査を歓迎します。
このポリシーに従って行われたセキュリティ調査は、許可されたものとみなし、その調査について法的措置を開始することはありません。これは一般的なセーフハーバーの文言であり、お客様個別の状況に応じた法的助言に代わるものではありません。対象範囲かどうか不明な場合は、テストを行う前にご相談ください。
ご質問