責任ある情報開示ポリシー

私たちはセキュリティコミュニティの価値を重視し、製品とユーザーの安全を守るための努力を感謝します。もし私たちのシステムに潜在的な脆弱性を発見した場合、ぜひご報告ください。この責任ある開示ポリシーは、Doppel Inc. に対して脆弱性を報告する研究者としての参加条件を説明します。

スコープ

当社の製品、サービス、インフラに影響を及ぼす正真正銘のセキュリティ脆弱性を特定したレポートを歓迎します—ただし、当社が所有し運営しているシステムに関連するものに限ります。

対象内の脆弱性カテゴリー

• 認証の問題（ログインバイパス、セッション管理の欠陥、レート制限の欠如）
• 認可の欠陥（権限昇格、IDOR）
• インジェクション脆弱性（SQLi、コマンドインジェクション、SSTI）
• クロスサイトスクリプティング (XSS)（保存型、反射型、DOMベースで実際の影響があるもの）
• クロスサイトリクエストフォージェリ (CSRF)（状態を変更するアクションに対して）
• 機密データの露出（API またはログを介した資格情報またはPII、ハードコーディングされた秘密）
• セキュリティの設定ミス（公開された管理インターフェース、安全でないデフォルト—当社が所有している場合に限る）
• サーバー側リクエストフォージェリ (SSRF)（特に内部アクセスが可能な場合）
• 破られた暗号化（弱いアルゴリズムの使用）
• ビジネスロジックの問題（悪用、詐欺、または意図しない動作）
• APIの設定ミス（認証の欠如、過度のデータ露出）
• サブドメインの乗っ取り（当社が所有し直接管理しているドメインに影響を与える場合のみ）

スコープ外

システムを保護し、不要なノイズを減らすため、以下はスコープ外です：

• 当社が所有していない第三者のプラットフォームまたはサービス（Auth0、Salesforce）
• 敏感なデータを持たないまたは処理しないマーケティングまたは静的サイト（ブログまたはドキュメント）
• ステージング/開発/内部環境（明示的に含まれていない限り）
• 企業のメールシステムまたは社員へのフィッシング/社会工学
• DoS/DDoS、スパム、ブルートフォース攻撃、またはリソース消耗
• 事前の許可なく自動スキャンやファズテストを行うこと
• 非敏感ページでのクリックジャッキング
• 開いているポート、バージョンバナー、または情報のみの問題
• 実証された悪用可能性が示されていない脆弱なライブラリ
• 自己XSSまたは被害者の協力が必要なバグ
• 物理的セキュリティのテスト（データセンターへのアクセスやデバイスの改ざん）
• HTTPSの構成、TLSバージョン & 暗号スイート
• セキュリティヘッダー、クリックジャッキング/XSS保護を含むHTTPヘッダー
• メール関連（SPF、DKIM、DMARC）と証明書発行（CAA）に関連するDNSレコード

これらのカテゴリの問題は、明確なセキュリティ影響を示さない限り、認識または報酬の対象とはなりません。

取引条件

研究者様へお願い：

• 明示的にスコープ内とされているシステムのみをテストする
• 自身のテスト/デモアカウントを使う（実際のユーザーを狙わない）
• データの流出や変更/削除を避ける
• サービスの中断を引き起こさない
• ソーシャルエンジニアリングやフィッシングを行わない
• 自動スキャナーやブルートフォースツールを使用しない
• 書面による許可なく公開しない（ここで詳細に説明されているように）
• 横移動や内部ネットワークのピボットを試みない
• 発見を迅速かつ責任を持って報告する

スコープ内であるかどうか不明な場合は、進める前に[email protected]までお問い合わせください。

報告方法

脆弱性の報告は[email protected]まで送信し、以下を含めてください：

• 脆弱性の概要
• 再現手順（スクリーンショットまたはビデオ歓迎）
• 概念実証（PoC）またはテストペイロード
• 影響を受けるシステム、URL、エンドポイント、またはパラメータ
• 潜在的な影響の評価
• 使用したツール、ブラウザ、またはデバイス
• 発見日時
• 連絡先情報（必要に応じてフォローアップするため）
• 対策の提案（任意ですが歓迎します）
• 関連する参考文献やCVE

公開開示

当社の書面による許可なく脆弱性を公に公開してはいけません。

修正後の調整済みの開示には協力的です。修正後、あなたの発見を公開する許可を求めることができます。早すぎるまたは無許可の開示は、認識または報酬の対象外となる可能性があります。

Doppelは、これらの条件を違反した場合、直ちに開示プログラムからの撤退をする権利を有します。

当社の対応

• ご提出を受け取った後、2営業日以内に受領を確認します
• 2週間以内にステータス更新または初期分析を提供します
• 問題が有効かつ重大であると判断した場合、修正後に通知します

セーフハーバー

私たちは、Doppelに対して責任を持って調査結果を報告する意図を持った善意の研究者と協力することを約束します。このポリシーに準拠している限り：

• あなたのテストは、私たちの利用規約に違反しないものと見なされます。これには、私たちのウェブサイトのソフトウェアのいかなる部分を解析、逆コンパイル、逆アセンブル、またはリバースエンジニアリングすることが含まれます。
• このポリシーに準拠する研究者としての行動は、コンピュータ詐欺・不正行為防止法、デジタルミレニアム著作権法（17 U.S.C. §1201）、およびカリフォルニア刑法502(c)などの他の適用されるコンピュータ使用法の下で「許可」された行為と見なされます。
• このポリシーに従った研究活動に関して第三者によって法的措置が開始された場合、あなたのテストがこのポリシーに基づき承認されたことを明確にします。

テストの許可に関して疑問がある場合は、進める前に連絡してください。

お住まいの国や地域の法律（指令、規制、および条例を含む）を含む、すべての適用法に従う必要があります。

報酬と認識

これは無償の開示プログラムです。ただし、当社のシステムまたはユーザーのセキュリティに対して高いまたは重大な影響を示す提出に対して、任意の感謝報酬を提供する場合があります。このような報酬は、当社の排他的な裁量によってのみ承認されます。報酬の対象となるには、このポリシーに準拠している必要があります。

感謝報酬を提供する際の検討事項：

• 重大性と悪用可能性
• ビジネスへの影響
• レポートの明瞭さと完全性
• 問題がすでに知られていたかどうか

報酬の決定は完全に当社の裁量に基づき、保証されません。金銭的な報酬が行われた場合、すべての適用される税金の支払い責任はあなたにあります。一年以内に承認されなかった場合、または放棄された場合、報酬は発行対象外となります。公開認識（殿堂入り）の対象となることもあります（承認を得て）。

報酬は、あなたが米国の禁輸国にいる場合、または米国財務省の特別指定国民リスト、米国商務省の制裁リスト、または他の制限されています。