セキュリティ
脆弱性開示ポリシー
Chargezenは、セキュリティ研究者による責任ある脆弱性の開示を歓迎します。お客様を保護するため、セキュリティコミュニティとの協力に取り組んでいます。
発効日：2026年1月4日バグ報奨金プログラム実施中
脆弱性を報告
セキュリティの問題を発見しましたか？責任ある方法でご報告ください。Chargezenの安全維持へのご協力に感謝します。
応答時間の目安
24時間
重大な問題：同一営業日中
対象範囲
- chargezen.comとすべてのサブドメイン
- admin.chargezen.com（マーチャントダッシュボード）
- api.chargezen.com（REST APIとGraphQL API）
- Chargezenモバイルアプリ（iOS、Android）
- Chargezenブラウザ拡張機能
- github.com/chargezen配下のオープンソースプロジェクト
対象外
- 第三者のサービスと連携
- Chargezen従業員の個人アカウントや端末
- 物理的セキュリティへの攻撃やソーシャルエンジニアリング攻撃
- サービス妨害（DoS/DDoS）攻撃
- スパムやソーシャルエンジニアリング
- すでに報告された脆弱性
- 端末への物理的なアクセスを必要とする問題
バグ報奨金
報奨金は、深刻度、影響、報告の品質に基づいて決定します。
緊急
リモートコード実行、SQLインジェクション、認証回避、データ侵害
US$5,000 - US$15,000
例：
本番サーバーでのRCE顧客データを露出させるSQLi管理者領域への認証回避
高
重大なデータ露出、権限昇格、影響を伴う格納型XSS
US$1,000 - US$5,000
例：
他のユーザーに影響する格納型XSS機密データを露出させるIDOR権限昇格
中
限定的なデータ露出、CSRF、反射型XSS、情報開示
US$250 - US$1,000
例：
反射型XSS状態を変更する操作に対するCSRFレスポンス内の機密情報
低
軽微な問題、推奨実務への違反、影響の小さい情報開示
US$50 - US$250
例：
セキュリティヘッダーの欠落詳細すぎるエラーメッセージ軽微な情報開示
責任ある開示のガイドライン
お願いすること
- 再現手順を含む詳細な報告を提供すること
- 開示前に問題を修正するための合理的な期間を設けること（90日）
- 他者のデータへのアクセス、変更、削除を行わないこと
- サービスを低下させる攻撃（DoS）を行わないこと
- 調整なしに自動スキャンツールを使用しないこと
- プライバシー侵害を避けるため誠実に行動すること
当社の約束
- 24時間以内に報告へ応答すること
- 問題の理解と検証に向けて協力すること
- 修正の進捗をお知らせすること
- 誠実な研究に対して法的措置を取らないこと
- 許可を得て研究者を公に称えること
- 検証後、速やかに報奨金を支払うこと
報告に含める内容
質の高い報告は迅速な修正に役立ち、より高い報奨金につながる場合があります。
1
脆弱性の種類
分類（XSS、SQLi、IDORなど）
2
影響を受けるURL・エンドポイント
脆弱性の具体的な場所
3
再現手順
誰でも従える、明確で番号付きの手順
4
概念実証
問題を示すスクリーンショット、動画、コード
5
影響評価
攻撃者に悪用された場合の潜在的な影響
6
修正案
任意ですが、ご提案を歓迎します
セーフハーバー
本ポリシーに従って行われるセキュリティ研究を、当社は次のように扱います。
- 承認された研究：誠実に行動する研究者に対して、民事または刑事上の措置を取りません。
- 適法な研究：問題を迅速に理解し解決するために協力し、本ポリシーを遵守する研究者に対して告訴等を行いません。
- 有益な研究：開示を共同で調整し、修正を公開する際には、ご希望に応じてお名前を掲載します。
