脆弱性開示ポリシー

販売者は、決済の受付をPapelShipに、ソフトウェアの保護をqPapelに委ねている。当社は、セキュリティ上の問題を発見し、その修正に協力しようとする研究者からの報告を歓迎する。

対象

• papelship.comおよびPapelShipダッシュボード
• mypapel.com上のホスト型チェックアウトおよびストア
• PapelShip API、WebhookおよびqPapelの認証サーバー
• qPapelのC++ SDKおよびC# SDK

対象外

• サービス拒否攻撃、負荷テストまたは可用性を低下させる試み
• 従業員またはオフィスに対するソーシャルエンジニアリング、フィッシングまたは物理的攻撃
• 個々の販売者が管理するコンテンツ、コードまたは設定
• 当社が利用する第三者のサービス（これらについては各サービスの所有者に報告されたい）
• 静的ページにおけるヘッダーの欠落など、セキュリティ上の影響が実証されていない発見事項

件名を「Security report」として、[email protected]宛てにメールを送信すること。報告には、次の事項を記載されたい。

• 問題の内容およびその潜在的な影響の説明
• 影響を受けるURL、エンドポイント、SDKのバージョンまたはコンポーネント
• 再現手順、および可能な場合は概念実証
• クレジット表記の希望の有無および希望する場合はその表記方法

• テストは、自己が所有するアカウントおよびストアに対してのみ、または明示的な許可を得た場合に限り行うこと
• 他のユーザーに属するデータにアクセスし、これを変更し、または削除しないこと。当該データに到達した場合は、直ちに調査を中止して報告すること。
• 発見事項を、他の販売者によるqPapelの保護の回避またはライセンスの取得に利用しないこと
• 大量のトラフィックを発生させる自動スキャンを実行しないこと
• 当社が修正を確認するまで、詳細を秘密として保持すること

研究者が本ポリシーを遵守し、誠実に行動し、かつ当社が対応するための合理的な期間を設けた場合、当社は、当該調査について研究者に対して法的措置をとらず、研究者と協力して問題の把握および解決に取り組む。

当社は、報告の受領を通知し、調査期間中は進捗状況を随時共有し、問題が解決した時点でその旨を知らせる。なお、当社は現在、報奨金を伴うバグバウンティプログラムを実施していない。