セキュリティ
脆弱性開示ポリシー
Chargezenは、お客様が気づいたセキュリティ脆弱性の報告を歓迎します。本ポリシーは報告のみを対象としており、Chargezenの本番システムに対する能動的なテストは許可されていません。
発効日：2026年11月13日報告のみ
脆弱性を報告
セキュリティの問題を発見しましたか？当社にご報告いただき、それ以上の調査は行わないでください。Chargezenの安全維持へのご協力に感謝します。
応答時間の目安
24時間
重大な問題：同一営業日中
報告できる内容
- ビジネスでChargezenを利用中に気づいたセキュリティの問題
- 公開された場所で見つけたChargezenの認証情報、キー、顧客データ
- github.com/chargezen配下のオープンソースコードをオフラインで確認して見つけた問題
許可されていない行為
- スキャン、ペネトレーションテスト、ファジングを含む、Chargezenの本番システムに対する能動的なテスト
- サービスをテストする目的でのアカウント、ワークスペース、スタッフシートの作成
- サービスの負荷テスト、ストレステスト、性能ベンチマーク
- サービス妨害（DoS/DDoS）攻撃
- 物理的セキュリティへの攻撃やソーシャルエンジニアリング攻撃
- 自分のものではないデータへのアクセス、変更、保持
責任ある開示のガイドライン
お願いすること
- 気づいた内容と、気づいた場所を説明すること
- 開示前に問題を修正するための合理的な期間を設けること（90日）
- 他者のデータへのアクセス、変更、削除を行わないこと
- Chargezenの本番システムをテスト、スキャン、探索しないこと
- 問題に気づいた時点で停止し、それ以上調査しないこと
- 目にしたデータを保持せず、報告後に削除すること
当社の約束
- 24時間以内に報告へ応答すること
- 問題の理解と検証に向けて協力すること
- 修正の進捗をお知らせすること
- 本ポリシーに基づく誠実な報告に対して法的措置を取らないこと
- 許可を得て報告者のお名前を公に掲載すること
報告に含める内容
明確な報告は迅速な修正に役立ちます。報告やテストに対する報奨金は支払いません。
1
脆弱性の種類
分類（XSS、SQLi、IDORなど）
2
影響を受けるURL・エンドポイント
脆弱性の具体的な場所
3
確認した内容
通常の利用中に何が起き、どのように気づいたか
4
証拠
確認した内容のスクリーンショットやメモ（エクスプロイトコードは含めないでください）
5
影響評価
攻撃者に悪用された場合の潜在的な影響
6
修正案
任意ですが、ご提案を歓迎します
セーフハーバー
このセーフハーバーは、能動的なテストを行わずに発見した脆弱性を誠実に報告し、気づいた時点で停止し、それ以上アクセスや悪用をせず、データを保持しなかった場合に適用されます。利用規約で禁止されている本番システムへの能動的なテストは対象外です。これらの報告については、次のように扱います。
- 法的措置なし：報告を理由に、お客様に対して民事または刑事上の措置を取りません。
- 協力：問題を迅速に理解し解決するために協力します。
- 有益な研究：開示を共同で調整し、修正を公開する際には、ご希望に応じてお名前を掲載します。
