セキュリティ脆弱性の報告ポリシー
概要
ComiCine は、ウェブサイト、アプリケーションおよびサービスのセキュリティを重視しています。独立したセキュリティ研究者からの、責任ある脆弱性報告を歓迎します。
セキュリティ脆弱性の報告
脆弱性は [email protected] までご報告ください。可能な範囲で、次の情報を含めてください。
- 脆弱性の明確な説明。
- 影響を受ける URL、エンドポイントまたはコンポーネント。
- 問題を再現する手順。
- 想定されるセキュリティ上の影響。
- 関連する技術的な証拠。
- 可能であれば、修正案。
研究者に、連絡に合理的に必要な範囲を超える個人情報の提供を求めることはありません。
対象範囲
ComiCine が所有し、かつテストについて明示的な許可を得たシステムのみが、対象となる可能性があります。サブドメイン、第三者との統合、外部プラットフォームまたは関連サービスが ComiCine に関連しているという理由だけで、対象範囲に含まれると判断しないでください。
システムが対象範囲に含まれるか不明な場合は、まず書面で許可を求めてください。明示的な許可を得るまでは、そのシステムに対する能動的なセキュリティテストを行わないでください。
責任ある調査の指針
研究者には、次の事項をお願いします。
- 善意をもって調査すること。
- 他のユーザーのデータへのアクセス、変更または削除を避けること。
- サービスの中断や可用性の低下を避けること。
- サービス拒否攻撃を行わないこと。
- フィッシング、ソーシャルエンジニアリングおよび物理的な攻撃を行わないこと。
- 破壊的なテストを行わないこと。
- 脆弱性の実証に必要な最小限のテストにとどめること。
- 機密情報が露出した場合は直ちにテストを中止し、報告すること。
- ComiCine と調整する前に、未解決の脆弱性を公開しないこと。
本ポリシーは、ComiCine のシステムを無制限にテストする許可を与えるものではありません。報告を提出しても、その後のアクセスやテストが許可されるわけではありません。
開示手順
- 研究者が報告を提出します。
- ComiCine が提供された情報を確認します。
- ComiCine は追加の技術情報を求める場合があります。
- ComiCine が問題を調査し、修正の優先順位を決めます。
- 適切な修正後に、公開について調整する場合があります。
この手順は、回答、修正または公開までの具体的な期限を約束するものではありません。
報奨と補償
ComiCine は現在、一般公開のバグ報奨金プログラムを運営していません。脆弱性報告を提出しても、金銭的補償を受ける資格が生じるわけではありません。報酬、記念品、雇用機会その他の特典を約束するものではありません。
法律および許可に関する通知
本ポリシー自体はセキュリティテストを許可するものではなく、テストには別途明示的な許可が必要です。また、本ポリシーは法的なセーフハーバーを設けたり、法的措置を受けないことを約束したりするものでもありません。研究者は、自らの活動が許可され、適用法令および関連するサービス規約を遵守していることを確認する責任を負います。本ポリシーは、不正アクセス、プライバシー侵害またはサービスを妨害するテストを許可しません。
お問い合わせ
[email protected] までご連絡ください。
公開での謝辞については、セキュリティ謝辞をご覧ください。