善意の研究 は弁護士による対応を受けることはありません。

セキュリティ研究は製品の安全性を高め、攻撃者に悪用される前に当社へ報告が届くことを望んでいます。本ポリシーに従っていただければ、当社は以下の対応を行います：迅速な報告受領の確認、脆弱性の理解と検証のための協力、修正作業中の状況共有、希望される場合のクレジット記載、および研究行為に対する法的措置の不実施・不支持。最後のコミットメントこそが本ドキュメントの主旨であり、第07条で具体的に規定されています。

security@transglot.ai 宛てにメールを送信してください。発見内容、場所、再現手順、攻撃者が実行可能な操作、および確認に役立つ情報（リクエストとレスポンス、短い動画、概念実証コードなど）を含めてください。クレジット記載を希望する場合は、掲載したい名前も併せてお知らせください。可能であれば英語でご記入ください。レポートを暗号化したい場合は、最初のメッセージで申し出てください。鍵の交換を行います。また、同じアドレスを記載した security.txt ファイルも公開しており、自動化されたスキャナーが人が確認するメールボックスを指し示すようにしています。

報告を受けてから3営業日以内に受領を確認します。10営業日以内に、再現の可否や深刻度の評価を含む初期評価をお伝えします。修正版のリリース時期をお知らせし、高または重大な問題については、検証後通常90日以内に修正版をリリースします。リスクがアクティブな場合はより迅速に対応します。修正に時間がかかる場合は、連絡を絶つことなくその理由を説明します。問題に関する情報を公開する前にお知らせし、事前の許可なくあなたの名前を公開することはしません。

Please give us ninety days from your first report before publishing details, and longer by agreement if the fix is genuinely complex or if a fix requires a customer to act. We will not use that period to bury the issue: we will keep you updated, and if we cannot fix it we will tell you that too, and we will not object to publication once the period has run. If an issue is being actively exploited, tell us immediately and we will move at that speed instead. We are happy to coordinate a joint advisory and to request a CVE where one is appropriate.

自社ドメイン上の本番Webアプリケーションおよびマーケティングサイト、公開REST API、配信エンドポイント、コンテキスト内エディタとその埋め込み表面、公開クライアントパッケージ、Webhook配信と署名、認証およびシングルサインオンフロー、インターネットから到達可能な公開インフラストラクチャ。意図的なトレードオフとして文書化された設計判断（共有の完全一致翻訳メモリプールやライブボリュームのディスクレベル暗号化の欠如など）に関する報告は、議論として歓迎しますが、脆弱性ではありません。これらはセキュリティページで明示されており、研究者がすでに公開されている事実を証明するために時間を費やす必要がないようにするためです。

当社が運用していないもの（顧客のウェブサイト、サードパーティ製統合、コネクタ経由でアクセスされるシステムなど）。サービス拒否、ボリュームベースまたはリソース枯渇テスト、および他のユーザーのサービス品質を低下させる行為。ソーシャルエンジニアリング、フィッシング、または当社スタッフ、オフィス、サプライヤーに対する物理的な試み。スパム、および分析なしに自動スキャナーによって生成された報告。影響の実証がない欠落しているベストプラクティスヘッダー、Cookieフラグ、悪用経路のない古いライブラリ、超過することで発見したレート制限、自己誘発型のクロスサイトスクリプティング、機密アクションのないページでのクリックジャッキング報告、または既にギャップとして文書化されている広範なコンテンツセキュリティポリシーの欠如。被害者のロック解除されたデバイスへの物理的アクセス、または被害者自身のマシンのルートレベルの侵害を必要とする脆弱性。

研究期間中、本ポリシーを誠実に遵守しようとした場合、当社はあなたの研究を承認されたものとみなし、問題を迅速に理解・解決するために協力します。また、コンピュータ不正使用、ハッキング防止、回避技術防止、契約法に基づくもの、および「許容される利用ポリシー」や「利用規約」の下での請求を含む、あなたに対する法的措置を推奨または追求しません。本ポリシーに基づいて行われた研究に対して第三者が訴訟を起こした場合、当社はあなたの活動が承認されていたことを明らかにします。このセーフハーバーは当社に限られます：第三者、他の顧客、またはその他のシステムの行動を承認するものではありません。

テスト用に所有しているか、明示的な許可を得ているログインおよびアカウントのみを使用し、他者の環境を調査するのではなく、独自の無料ワークスペースを作成してください。自分のものでないデータへのアクセス、変更、コピー、持ち出し、または破棄を行わないでください。誤って顧客データに遭遇した場合は、作業を中止し、保存せずに、発見した内容を直ちに当社に報告して暴露範囲の評価を受けてください。可用性の低下を引き起こしたり、負荷テスト、ストレステスト、サービス拒否テストを実行したりしないでください。実証に必要な範囲を超えてアクセス権を取得するために発見事項を利用したり、持続的なアクセスを維持したりしないでください。恐喝行為や、開示を支払いの条件とすることは禁止されています。第04条で許可されるまで公開しないでください。適用される法令、およびあなたに適用される輸出管理規制や制裁制限を遵守してください。

現時点では金銭的なバグ報奨金プログラムはありません。代わりに提供するのは、迅速かつ人間的な対応、希望される場合の公的な謝辞におけるクレジット記載、重大な発見に対する書面による推薦状、および前述のセーフハーバーです。有料プログラムを開始する場合は、最初の提出を受け付ける前に、対象範囲と報酬範囲をここに公開します。

レポート受領の条件として秘密保持契約（NDA）への署名を求めず、レポート提出フォームを通じて沈黙を強要することもありません。深刻度が低かったり重複していたりするレポートであっても、報告者を脅迫しません。雇用主、大学、またはプラットフォームに対して報告者を通報しません。深刻度の評価に相違がある場合は、スレッドを閉じるのではなく、その理由を説明します。

製品利用中に脆弱性を発見したお客様は、本ポリシーおよびセーフハーバー条項の対象となり、その報告は「許容される利用ポリシー」違反とはなりません。通常のサポート窓口ではなくセキュリティ用メールアドレス宛てに報告してください。これにより、キューで待機することなく、適切な担当者に情報が届きます。可能であれば、エンドユーザーの本番環境データを使用したテストは避けてください。

セキュリティページでは、意図的に構築していない事項を明記しています。レビュー担当者や研究者がデューデリジェンスではなく当社から直接这些信息を把握できるようにするためです。具体的には、ライブボリュームはディスク暗号化されていません。監査ログはアプリケーション層で追加専用であり、ハッシュチェーンや署名は付与されていません。広範なコンテンツセキュリティポリシーは存在せず、現時点で第三者のセキュリティ認証も保有していません。自らのギャップを公開することは、ビジネスにおいて最もコストのかからない誠実さの表明であり、関係者全員の時間を節約します。

セキュリティに関する報告や本ポリシーに関する質問は security@transglot.ai までご連絡ください。不正利用や著作権侵害など、セキュリティ問題以外のお問い合わせは hello@transglot.ai 宛てとなります。プライバシーおよびデータ保護に関するお問い合わせは privacy@transglot.ai 宛てとなります。