脆弱性開示ポリシー

脆弱性の報告

影響を受ける資産、想定される影響、再現手順、および必要最小限の概念実証を security@sytance.com までメールでお送りください。問題の把握に不可欠な場合を除き、認証情報、顧客コンテンツ、個人データは含めないでください。

本ポリシーは、このページにリンクしているSytance Technologies Limited運営の公開ウェブサイト、ホスト型アプリケーションおよびAPI（Sytanceサービスを含む）に適用されます。

顧客環境、顧客が管理するシステム、第三者サービス、連携機能、当社が保守していないオープンソースプロジェクト、ならびに当社が所有または管理していないインフラは対象外です。Sytanceが利用する第三者コンポーネントは、Sytance運営サービスへの影響に関する報告に限り対象となります。

所有者または対象範囲が不明な場合は、security@sytance.com に連絡し、確認が取れるまで調査を続けないでください。

本ポリシーに基づくセキュリティ調査が許可されるのは、誠実に、対象範囲内で、以下のルールに従って行い、脆弱性の疑いを確認・報告するために合理的に必要な範囲に限る場合です。

再現手順を含む簡潔な報告は、安全な評価と迅速な対応に役立ちます。可能な範囲で次の情報を含めてください。

必要な情報がそろった報告については、3営業日以内の受領連絡と、10営業日以内の初期評価結果の提示を目指します。確認済みの問題を継続調査している間は、報告者から有効な連絡先が提供されている場合、少なくとも10営業日ごとに実質的な進捗をお伝えするよう努めます。

営業日とは、香港の祝日を除く月曜日から金曜日をいいます。これらは連絡に関する目標であり、修正完了期限を保証するものではありません。報告内容の不足、報告件数の多さ、技術的な複雑さ、第三者への依存などにより時間を要する場合があります。その際は可能な限り、見込みの変更をお知らせします。

受付と追跡 — 報告を記録し、影響を受ける資産が対象範囲内かを確認したうえで、報告者との連絡手段を確立します。
初期評価と再現確認 — 提供された情報を評価し、現象の再現を試み、重複を整理し、必要に応じて追加説明を求めます。
リスク評価と優先順位付け — 脆弱性が確認された場合、深刻度、悪用可能性、影響を受けるデータと利用者、露出状況、代替的な対策、および実際に悪用されている証拠を評価します。
修正と検証 — 担当チームが緩和策または修正を策定・テストし、関連するリリースや第三者への依存関係を調整したうえで、結果を検証します。
終了と開示 — 共有可能な結果を報告者に伝え、公開する場合はその時期や内容を調整し、セキュリティ勧告や謝辞の掲載が適切かを検討します。

修正時期はリスクに基づいて決定します。重大な問題や悪用中の問題は直ちに封じ込める必要がある一方、リスクが低い問題は通常の製品変更に合わせて対応する場合があります。該当する緩和策または修正を検証するまでは、問題が修正済みであるとは説明しません。

本ポリシーに誠実に従って調査した場合、当社が法的に許可できる範囲でその調査を許可されたものとして扱い、対象範囲内の偶発的かつ誠実な行為のみを理由に法的措置を開始しません。

本ポリシーに従った活動について第三者が法的措置を開始した場合、当社の脆弱性開示手続きに基づいて行われた活動であることを確認する場合があります。当社は他の組織に代わって活動を許可することも、第三者や公的機関の対応を約束することもできません。

このセーフハーバーは、違法、無謀、悪意ある、または恐喝的な行為を許可するものではなく、他者の権利を放棄させるものでもありません。また、当社が中止を求めた後も続けた行為は保護されません。

当社の調査中は、脆弱性の疑い、概念実証、影響を受ける顧客の情報、および修正内容を機密として扱ってください。必要な情報がそろった報告を受領した旨を連絡した日から通常90暦日以内の協調的な開示を目指します。公開前に当社へ連絡し、技術的な範囲と利用者が自らを保護できる公開日を合意してください。

適切な開示日は、深刻度、悪用の状況、顧客へのリスク、リリース準備状況、影響を受ける第三者などに応じて前後する場合があります。批判を避けるためだけに延長を求めることはありません。追加の時間が必要な場合は、安全に共有できる範囲で理由を説明します。

開示が利用者の保護に役立つ場合、勧告を公開することがあります。報告者の氏名を公表する前に、報告者と表示方法を協議します。

本ポリシーはバグバウンティ制度ではなく、報酬、賞金、雇用その他の補償を受ける権利を生じさせるものではありません。