セキュリティ報奨金プログラム

対象外

以下のカテゴリーでの応募は受け付けておりません：

• 無制限にユーザーアカウントを作れる。
• 特定されたセキュリティーリスクを伴わずに、ユーザー インターフェースを介して利用できないアクションを実行する能力
• 内容を制限することなくメールを送信する能力
• 当社サービスの妨害（DoS）につながる可能性のある行為
• ユーザーのデバイスへのMiTMまたは物理的アクセスを必要とする攻撃
• クリックジャッキング
• コンテンツ成り済ましとテキストインジェクション
• 脆弱性を証明せずにCSVインジェクション
• 製品のバージョン、サーバー上のファイルパス、スタックトレースなど、機密情報以外の情報の開示
• 発信元およびプライベートIPアドレス、またはプライベートIPアドレスを指すドメインの開示
• セキュアな接続（HTTPS）上で、信頼できる第三者に機密トークン（パスワードリセットトークンなど）が漏れる。
• SSL/TLS設定におけるベストプラクティスの欠落
• DNS設定におけるベストプラクティスの欠落（DKIM/DMARC/SPF/TXT）
• 脆弱性を示すことなくHTTPヘッダーのベストプラクティスを欠落させる
• 重要なアクションに関する通知トラブル
• ユーザーやシステムに対する実際のセキュリティ上の影響を示すことなく、保護メカニズムや優れた方法を欠落させています。
• 動作実証のない既に知られているの脆弱なライブラリ
• クラッシュダンプや自動ツールの出力のみを含む、概念実証のないレポート。
• 認証なし/ログイン/ログアウト CSRF
• ユーザーを挙げる
• パッチが適用されていない環境を必要とするベクター（例：Windowsアップデートの欠落）
• レポート提出の6ヶ月以上前にリリースされたブラウザのバージョンを必要とするベクター
• エンドポイントでのレート制限の欠落
• クロスサイト リクエスト フォージェリ（CSRF）

脆弱性の提出方法

脆弱性はEメール[email protected]から送信できます。

どのような脆弱性を発見したのか、Eメールに簡潔に記載してください。特に、以下の内容をメールに記載してください：

• どの脆弱性
• あなたが行ったステップ
• URL全体
• 関係するオブジェクト（フィルターまたは入力フィールドとして）
• スクリーンショットやスクリーンビデオを大歓迎
• バグレポートにIPアドレスをご記入ください。IPアドレスは非公開とされ、テスト活動の追跡と弊社側からのログ確認に使用されます。
• 発見された問題を可能な限り明確かつ詳細に記述し、持っている可能性のある証拠を提出します。この通知は専門家によって受け取られることを想定してください。

ルール

責任を持ち、細心の注意と慎重さをもって行動すること。問題を調査する際には、脆弱性を発見または実証するために必要な方法または技術のみを使用すること。

• 倫理的なハッカーであり、他のユーザーのプライバシーを尊重する。
• 発見した脆弱性を自分自身の調査以外の目的で使用しないこと。
• クリプトホッパー以外の第三者に脆弱性を開示せず、一般や第三者に開示する前に問題を解決するための合理的な時間を提供してください。
• ソーシャル・エンジニアリングを使用してシステムにアクセスしないこと
• システムの弱点を検証する目的であっても、不正なアクセス方法を作成しないでください。そのような方法はシステムの安全性を低下させます。
• システム内の情報を変更したり削除したりしないこと。調査のために情報をコピーする必要がある場合は、決して必要以上にコピーしないでください。1つの記録で十分な場合は、それ以上コピーしないでください。
• システムには一切手を加えないでください。
• システムに入るのは、どうしても必要なときだけにしてください。システムに入れたとしても、他人とアクセス権を分け合わないこと。
• システムへアクセスするために、パスワードを繰り返し入力するなどの総当たり技法を使用しない。
• 自社のシステムをできるだけ厳重に保護する

報酬

報酬は、重大性、影響度、レポートの質に基づいて決定されます。報酬を受け取るには、制裁リスト（キューバ、イラン、北朝鮮、スーダン、シリアなど）に掲載されていない国に居住している必要があります。報酬を支払うかどうかの決定は当社の裁量に委ねられます。

さらに考慮すべきことがある：

• 重複が発生した場合は、最初に受け取ったレポートのみ承認します。
• 1つの根本的な問題に起因する複数の脆弱性は、1つの報奨金になります。
• 当社のエンジニアは、レポートからセキュリティ欠陥を再現できなければなりません。あまりにも漠然としていたり、不明確な報告は、報奨の対象にはなりません。明確に書かれた説明と実行コードを含むレポートは、報奨金を獲得できる可能性が高くなります。