脆弱性の報告について
当社は、当社のウェブサイト及びサービスに関する脆弱性のご報告を歓迎します。報告先・有効期限等の機械可読な情報は、RFC 9116 に準拠した security.txt に掲載しています。
ご報告は、日本語または英語で security@arterect.co.jp までお送りください。再現手順、影響範囲、必要に応じてスクリーンショット等を添えていただけると、調査が速やかに進みます。
security.txt（RFC 9116）脆弱性の報告先・有効期限・方針の URL を、機械が読める形で公開しているファイルです。arterect.co.jp/.well-known/security.txt報告の対象
- 認証・認可の不備（アクセス制御の回避、権限昇格）
- 任意コード実行、クロスサイトスクリプティング（XSS）、SQLインジェクション等の実行系の脆弱性
- 個人情報・認証情報・非公開情報の露出
- サーバー・ネットワーク設定の不備に起因する脆弱性
報告の対象外
- 再現手順を伴わない、スキャナの出力のみのご指摘
- サービス妨害（DoS）、負荷試験、大量のリクエストを伴う検証
- ソーシャルエンジニアリング、物理的侵入、当社従業員への接触を伴う手法
- 当社が利用する第三者サービス自体の脆弱性（当該サービス提供者へご報告ください）
- 実害の説明を伴わない、ベストプラクティスからの逸脱のみのご指摘
調査にあたってのお願い
- 検証は必要最小限の範囲で行い、第三者のデータの取得・改変・削除は行わないでください。
- 個人情報に到達した場合は、直ちに調査を中止し、取得した情報を保存せずにご報告ください。
- 修正が完了するまで、脆弱性の内容を第三者へ開示しないようご協力をお願いします。
対応の目安
- ご報告の受領から3営業日以内に一次返信を行います。
- 調査の状況及び修正の見通しについて、報告者へ随時共有します。
- 修正完了後、ご希望に応じて謝辞を掲載します（金銭的な報奨金制度は現時点では設けておりません）。
本ポリシーに従った善意の調査・報告について、当社は報告者に対する法的措置を行いません。