BitFileに関する脆弱性報告の窓口、調査時の注意事項、および運営者の対応方針です。利用者と第三者への影響を最小限にするため、必要最小限の確認と調整された開示に協力してください。

1. 適用範囲

本ポリシーの対象は、運営者が管理する正式版のBitFileであるiOS App Store版とMac App Store版、および運営者が管理するBitFile公式Webサイトです。運営者が報告者へ明示的に提供したテスト版、サポート対象の版、および運営者が管理する公開設定に関する報告を受け付けます。対象か判断できない場合は、再現を拡大せずに報告してください。

Apple、App Store、StoreKit、Cloudflare、Googleフォームその他の第三者サービス、その基盤、第三者が管理するアカウントまたは第三者のデータは、本ポリシーの対象外です。第三者サービスの問題は、その提供者が案内する窓口と条件を確認してください。本ポリシーは第三者のシステムを調査する権限を付与しません。

2. 報告窓口

セキュリティ上の問題を発見した場合は、セキュリティ報告用Googleフォーム（Googleアカウントへのログインが必要・外部サイト）から連絡してください。Googleフォームを開くにはGoogleアカウントへのログインが必要です。専用メールアドレスを案内する場合は、受信できることを確認した後に本ページへ掲載します。

パスワード、復旧情報、暗号鍵、保管庫ファイル、認証情報、個人情報その他の秘密情報は送信しないでください。証拠を示すために秘密情報が必要と思われる場合も、まず秘密情報を含めずに状況を説明してください。

3. 報告に含める情報

  • 影響を受けるiOS版、Mac版または公式Webサイトと、そのバージョンまたは確認日時
  • 問題の概要と想定される影響
  • 必要最小限の再現手順と前提条件
  • 期待した動作と実際の動作
  • 秘密情報を含まないログ、画面、リクエストまたは検証結果
  • 既に第三者へ開示した範囲と、公表を希望する時期
  • 連絡可能な情報と、謝辞掲載の希望（いずれも任意）

4. 調査時のルール

  1. 自分が所有または明示的な許可を得た端末、アカウント、保管庫およびデータだけを使用してください。
  2. 問題を確認できた時点で検証を止め、影響範囲を拡大しないでください。
  3. 実在する個人情報や機密情報ではなく、テスト用データを使用してください。
  4. 自動化する場合は、通常利用を妨げない低い頻度と必要最小限の範囲にしてください。
  5. 法令、契約、プラットフォームの規則および第三者の権利に従ってください。

5. 禁止行為

  • 第三者のアカウント、端末、保管庫、通信またはデータへの無断アクセス
  • 個人情報、認証情報、復旧情報、暗号鍵または保管庫ファイルの取得、保持、変更または公開
  • データの破壊、改ざん、削除、暗号化、身代金要求または利用不能化
  • サービス妨害、負荷試験、大量の自動リクエスト、迷惑通信または利用者への影響を生じさせる行為
  • ソーシャルエンジニアリング、フィッシング、なりすまし、脅迫または従業者や利用者を対象とする攻撃
  • マルウェアの配置、永続化、認証回避後の権限維持、データ持ち出しまたは実害を伴う概念実証
  • Apple、Cloudflare、Googleその他の第三者サービスまたは第三者データを、本ポリシーを根拠として調査する行為
  • 利用者の安全を脅かすおそれがある状態で、調整せずに詳細な悪用手順を公開する行為

6. 受付および調査

運営者は、報告を受けた後、対象範囲、再現性、影響、悪用可能性、既知の問題との重複、および修正方法を確認します。追加情報を求める場合があります。対象外、再現不能、既知または重複と判断した報告は、その理由を可能な範囲で案内して終了することがあります。

受領確認、初期判断、修正、配布元への提出または公開までの期間は保証しません。問題の内容、影響範囲、第三者との調整、App Storeの審査、修正の安全性その他の事情により期間は異なります。報告を受け付けたことは、脆弱性の存在、重要度または修正義務を認めることを意味しません。

7. 開示の調整

報告者が公表を予定する場合は、利用者が更新または回避策を利用できる状態になるよう、内容と時期の事前調整を依頼します。固定の非公開期間や公表期限は設けません。緊急性、既知の悪用、修正の進捗、配布元の審査および利用者への影響を考慮して個別に調整します。

この依頼は、適用法令に基づく報告や公的機関への届出を妨げるものではありません。報告者は、自らに適用される法令と契約を確認してください。

8. 公表および謝辞

運営者は、利用者の安全に必要な場合、修正情報、影響範囲、更新方法または回避策を公式サイトその他の適切な方法で案内することがあります。悪用を助長する情報、個人情報、秘密情報または調査中の情報は、必要な範囲で非公開とします。

報告者の希望、本人確認、安全性および公表時期を確認した上で、謝辞を掲載する場合があります。謝辞の掲載は保証しません。

9. セキュリティインシデントへの対応

セキュリティインシデントを確認した場合は、事実確認、影響範囲の調査、被害拡大の防止、証拠の保全、復旧および再発防止を進めます。法令上必要な場合は、関係機関への報告や対象者への通知を、定められた方法と時期に従って行います。状況に応じて公式サイトなどで案内します。

BitFileの保管庫データは原則として利用者の端末内に保存されます。公式Webサイトまたは問い合わせ窓口に関する事象は、運営者が管理する範囲を調査します。Apple、Cloudflare、Googleその他の第三者が管理する範囲は、その第三者の対応と案内に従います。

10. 保証しない事項

本ポリシーは、調査行為の許可、違法性の否定、責任免除、訴追されないこと、第三者からの請求を受けないこと、またはセーフハーバーを保証するものではありません。適用法令、契約、プラットフォームの規則および第三者の権利は引き続き適用されます。

運営者は、受領確認、回答、調査、修正または公表の期限を保証しません。また、CVE番号の取得または割当て、謝辞、報奨金、賞金、費用負担、雇用、取引、継続的な連絡または個別サポートを保証しません。BitFileは脆弱性報奨金制度を設けていません。将来制度を設ける場合は、条件を本ページまたは別の正式文書で案内します。