脆弱性開示方針

セキュリティ報告は security@bepto.com へお送りください。件名を「セキュリティ報告：rodlesspneumatic.com」など明確にし、対象URLまたは機能、想定される影響、再現手順、リクエストとレスポンス、最小限の概念実証、必要条件、希望する連絡先を記載してください。

初回報告に不要な個人情報、顧客情報、認証情報、機密資料を含めないでください。

対象は rodlesspneumatic.com のうち、ベプト空圧が運営する自社ページ、公開Workerルート、ウェブフォームです。対象か不明な場合はテスト前にご連絡ください。

明示的に当社運営とされない第三者のプラットフォーム、インフラ、アプリ、サービスは対象外です。該当事業者へ報告してください。

自身が所有するか明示的な許可を得たアカウント、記録、データのみを使用し、確認に必要な最小限のテストに留めてください。個人情報、認証情報、機密情報、他者の記録に接した場合は停止して連絡してください。障害、過剰な自動化、資源枯渇、顧客・可用性・本番データへの影響を避け、公開前に合理的な調査期間を設け、法令を守り、恐喝や支払要求に利用しないでください。

DoS、トラフィック洪水、破壊的テスト、ソーシャルエンジニアリング、フィッシング、スパム、認証情報詰め込み、物理侵入、マルウェア、永続化、本番データ変更、サービスを劣化させる大量スキャン、安全制御の無視、人や事業者への攻撃、当社が運営しない第三者システムやCloudflareインフラのテストは禁止です。

実際のセキュリティ影響を示す報告を歓迎します。スキャナー出力、バージョン表示、任意ヘッダーの欠落、self-XSS、コンテンツやSEO、機密操作のないページのclickjacking、影響を実証しないレート制限の観察のみの場合、修正せず終了することがあります。

完全な報告は5営業日以内に受領確認し、10営業日以内に初期評価または追加情報を依頼し、必要に応じ重要な進捗を共有するよう努めます。これは契約上のSLAではなく、修正期間は重大度、複雑さ、対象サービス、事業者との調整に左右されます。

修正確認または開示日への合意まで、疑いのある脆弱性、概念実証、影響データを公開しないでください。重大度と複雑さに応じ合理的な日程を善意で協議します。

本方針内で善意により損害回避を意図して行われた研究に対し、ベプト空圧は法的措置を開始する意図はありません。不明なテストは事前にご相談ください。本声明は違法行為を許可せず、第三者を拘束しません。

本方針はバグ報奨金制度ではなく、支払い、贈答、公開謝辞を約束しません。謝辞や報奨は当社の裁量により、別途書面での合意が必要です。

セキュリティ報告：security@bepto.com
製品・見積・一般的なサイトの質問：Pneumatic@bepto.com