脆弱性開示ポリシー

当社は、本ポリシーに基づき誠実に行動するセキュリティ研究者に対して法的措置を講じることはありません。誠実な行動とは、プライバシー侵害、データ破壊、およびサービス妨害を避けるために真摯な努力を払うことを意味します。

これらのガイドラインに従って調査を行っていただければ、当社は当該調査を承認されたものとみなします。問題の迅速な理解と解決に向けて、お客様と協力して取り組んでまいります。

以下が対象範囲です。

• clavitor.ai — 本番環境のWebサイト
• *.clavitor.ai — すべてのPOP（Point of Presence）ボールトエンドポイント
• /api/ — ボールトREST API
• /app/ — ボールトWeb UI
• clavitor-cli — エージェントCLI
• clavitor-proxy — HTTPS資格情報プロキシ
• ブラウザ拡張機能 — Chrome、Firefox、Safari

以下は対象範囲外です。

• スタッフまたはユーザーに対するソーシャルエンジニアリング
• サービス拒否攻撃
• インフラストラクチャに対する物理攻撃
• 第三者サービス (Paddle, Cloudflare)
• サービスの可用性を低下させる自動スキャン

• 他者のボールトデータにアクセス、変更、または削除しないでください。
• サービスの可用性を低下させないでください。
• 実際のユーザーデータに遭遇した場合は、直ちに停止して報告してください。
• いかなる公開開示を行う前にも、問題の修正のために合理的な期間を設けてください。
• 脆弱性を実証するために必要な最小限のアクセスのみを使用してください。

security@clavitor.ai までメールをお送りください。機密性の高い報告については、当社のPGP鍵を使用してメッセージを暗号化してください。

以下を含めてください。

• 脆弱性の説明とその潜在的な影響
• 再現手順
• 概念実証コードまたはスクリーンショット

• 48時間以内に報告の受領を確認いたします。
• 7日以内に実質的な評価をご提供いたします。
• 修正作業中は進捗状況をお知らせいたします。
• 匿名を希望されない限り、当社の謝辞ページでお客様を公開してクレジットいたします。

当社は報酬付きのバグバウンティプログラムは運営しておりません。その代わり、感謝の意、公開でのクレジット、そして実際のユーザーのプライベートデータの保護に貢献したという事実をお贈りいたします。