脆弱性開示ポリシー

1. 報告窓口

脆弱性を発見された場合は、次のメールアドレスまでご連絡ください（日本語・英語で受け付けます）。件名に「脆弱性報告」と記載いただけると、優先して確認します。

• メール： contact@wren.co.jp

報告には、可能な範囲で次の情報を含めてください。

• 脆弱性の種類と、影響を受ける URL・画面・API
• 再現手順（リクエスト例、スクリーンショット、動画など）
• 想定される影響（どの情報に、誰がアクセスできるようになるか等）
• ご連絡先と、謝辞にお名前を掲載してよいかどうか

報告に個人情報や認証情報が含まれる場合は、必要最小限にとどめてください。

2. 対応の目安

• 受領のご連絡：報告受領から 5 営業日以内
• 初期評価（再現可否・深刻度）のご連絡：報告受領から 10 営業日以内
• 修正：深刻度に応じて対応し、進捗を適宜ご連絡します

上記は目安であり、報告の内容や件数によって前後する場合があります。現時点で、報奨金（バグバウンティ）制度は設けていません。

3. 対象範囲

• CS Copilot の Web アプリケーション（ランディングページ、ログイン後のダッシュボード、管理画面）
• CS Copilot が提供する API・Webhook 受信エンドポイント

4. 対象外

• サービス妨害（DoS / DDoS）、大量のリクエスト送信、負荷試験
• ソーシャルエンジニアリング、フィッシング、物理的な侵入
• 当社が利用する外部サービス（Vercel、Google Cloud、Stripe、LINE、Cloudflare 等）自体の脆弱性（各事業者の窓口へご報告ください）
• 実際の影響を示さない指摘（セキュリティヘッダーの欠如のみ、ログアウト CSRF、機密操作のないページのクリックジャッキング等）
• SPF / DKIM / DMARC の設定に関する指摘のみのもの
• 自己 XSS など、被害者自身による特殊な操作を前提とするもの
• サポートが終了したブラウザ・OS でのみ成立するもの
• 再現手順や影響の説明がない、自動スキャナーの出力のみの報告

5. 検証にあたってのお願い

• ご自身で作成したアカウント・テナントでのみ検証し、他の利用者のデータにアクセスしないでください。意図せずアクセスした場合は、それ以上の閲覧・保存・利用をせず、速やかにご報告ください。
• データの改ざん・削除、サービスの停止や品質低下を招く操作は行わないでください。
• 脆弱性の確認に必要な最小限の範囲にとどめてください。
• 修正が完了するまで、または報告から 90 日が経過するまで、内容を第三者に開示しないでください。開示時期は当社と協議のうえ決めさせてください。

6. 報告者の保護（セーフハーバー）

本ポリシーに従い、善意で行われた調査と報告について、当社は報告者に対して法的措置をとらず、捜査機関への申告も行いません。第三者から当該調査に関して苦情や申立てがあった場合も、当社は報告者が本ポリシーに従っていたことを説明します。

ただし、本ポリシーに反する行為や、法令に違反する行為についてはこの限りではありません。判断に迷う場合は、検証を進める前に上記の窓口までご相談ください。

7. 本ポリシーの変更

当社は、必要に応じて本ポリシーを変更することがあります。変更後のポリシーは、本ページに掲示した時点から効力を生じます。