--- title: "脆弱性開示ポリシー | Chargezen" description: "Chargezenへのセキュリティ脆弱性の報告方法と、責任ある開示の手順をご確認ください。" url: "https://chargezen.com/ja/vulnerability-disclosure" lang: "ja" --- Canonical URL: https://chargezen.com/ja/vulnerability-disclosure セキュリティ # 脆弱性開示ポリシー ## Chargezenは、セキュリティ研究者による責任ある脆弱性の開示を歓迎します。お客様を保護するため、セキュリティコミュニティとの協力に取り組んでいます。 発効日：2026年1月4日 バグ報奨金プログラム実施中 ### 脆弱性を報告 セキュリティの問題を発見しましたか？責任ある方法でご報告ください。Chargezenの安全維持へのご協力に感謝します。 メール（推奨） [security@chargezen.com](mailto:security@chargezen.com) PGPキーはご要望に応じて提供 応答時間の目安 24時間 重大な問題：同一営業日中 ### 対象範囲 * chargezen.comとすべてのサブドメイン * admin.chargezen.com（マーチャントダッシュボード） * api.chargezen.com（REST APIとGraphQL API） * Chargezenモバイルアプリ（iOS、Android） * Chargezenブラウザ拡張機能 * github.com/chargezen配下のオープンソースプロジェクト ### 対象外 * 第三者のサービスと連携 * Chargezen従業員の個人アカウントや端末 * 物理的セキュリティへの攻撃やソーシャルエンジニアリング攻撃 * サービス妨害（DoS/DDoS）攻撃 * スパムやソーシャルエンジニアリング * すでに報告された脆弱性 * 端末への物理的なアクセスを必要とする問題 ## バグ報奨金 報奨金は、深刻度、影響、報告の品質に基づいて決定します。 ### 緊急 リモートコード実行、SQLインジェクション、認証回避、データ侵害 US$5,000 - US$15,000 例： 本番サーバーでのRCE 顧客データを露出させるSQLi 管理者領域への認証回避 ### 高 重大なデータ露出、権限昇格、影響を伴う格納型XSS US$1,000 - US$5,000 例： 他のユーザーに影響する格納型XSS 機密データを露出させるIDOR 権限昇格 ### 中 限定的なデータ露出、CSRF、反射型XSS、情報開示 US$250 - US$1,000 例： 反射型XSS 状態を変更する操作に対するCSRF レスポンス内の機密情報 ### 低 軽微な問題、推奨実務への違反、影響の小さい情報開示 US$50 - US$250 例： セキュリティヘッダーの欠落 詳細すぎるエラーメッセージ 軽微な情報開示 ### 責任ある開示のガイドライン #### お願いすること * 再現手順を含む詳細な報告を提供すること * 開示前に問題を修正するための合理的な期間を設けること（90日） * 他者のデータへのアクセス、変更、削除を行わないこと * サービスを低下させる攻撃（DoS）を行わないこと * 調整なしに自動スキャンツールを使用しないこと * プライバシー侵害を避けるため誠実に行動すること #### 当社の約束 * 24時間以内に報告へ応答すること * 問題の理解と検証に向けて協力すること * 修正の進捗をお知らせすること * 誠実な研究に対して法的措置を取らないこと * 許可を得て研究者を公に称えること * 検証後、速やかに報奨金を支払うこと ### 報告に含める内容 質の高い報告は迅速な修正に役立ち、より高い報奨金につながる場合があります。 1 脆弱性の種類 分類（XSS、SQLi、IDORなど） 2 影響を受けるURL・エンドポイント 脆弱性の具体的な場所 3 再現手順 誰でも従える、明確で番号付きの手順 4 概念実証 問題を示すスクリーンショット、動画、コード 5 影響評価 攻撃者に悪用された場合の潜在的な影響 6 修正案 任意ですが、ご提案を歓迎します ### セーフハーバー 本ポリシーに従って行われるセキュリティ研究を、当社は次のように扱います。 * **承認された研究：**誠実に行動する研究者に対して、民事または刑事上の措置を取りません。 * **適法な研究：**問題を迅速に理解し解決するために協力し、本ポリシーを遵守する研究者に対して告訴等を行いません。 * **有益な研究：**開示を共同で調整し、修正を公開する際には、ご希望に応じてお名前を掲載します。 ## 報告の準備はできましたか？ Chargezenの安全維持にご協力ください。脆弱性を報告し、セキュリティ貢献者として名を連ねましょう。 [脆弱性を報告](mailto:security@chargezen.com) [セキュリティの概要](https://chargezen.com/ja/security)