脆弱性開示プログラム

対象範囲

次の対象のみをテストしてください。

• 当社のウェブサイト talismanleads.io とそのサブドメイン（ログイン、アカウント、お支払い、無料ツールの各ページを含みます）。
• 当社の Telegram ボット @TalismanLeadsV1bot。
• ウェブサイト独自の API（お客様ご自身のアカウントからアクセスする場合）。

当社のものかどうか不明な場合は、テストの前に当社にお問い合わせください。

対象外

次の事項についての報告はお送りいただかないようお願いします。

• Telegram、Cloudflare、決済ネットワーク、ライブチャットウィジェットなど、他社が運営するサービス。これらの問題は各運営者に報告してください。
• 他のお客様のアカウントおよびデータ。
• 当社のチェッカーや無料ツールが本来行うよう作られていること（番号やメールアドレスにアカウントがあるかどうかを示すことなど）。
• 登録、ログイン、パスワードリセットの各ページで、メールアドレスやユーザー名が当社に登録済みかどうかがわかること。
• メール関連レコード（SPF、DKIM、DMARC、BIMI）、DNSSEC や CAA のレコードの欠落または不備、および類似ドメイン。
• セキュリティヘッダー（CSP、HSTS、X-Frame-Options など）の欠落、Cookie のフラグ、暗号スイートの選択などの SSL/TLS 設定。ただし、実際に動作する攻撃を示された場合を除きます。
• ソフトウェア名とバージョン番号、サーバーバナー、および robots.txt、サイトマップ、security.txt などの公開ファイル。
• ページのソースにある CAPTCHA、アナリティクス、ブラウザクライアントのキーなど、公開を前提としたキー。
• 機密性の高い操作がないページでの self-XSS、クリックジャッキング、CSRF、ログアウト CSRF、それ以上の影響がないオープンリダイレクト、tabnabbing、スクリプトが実行されないテキストインジェクション。
• 公開ページおよびフォームのレート制限（メールや登録の大量送信を含む）。ただし、それによって誰かがアカウントを乗っ取ったり金銭を使ったりできる場合を除きます。
• パスワードのルール、セッションの長さ、二要素認証が任意であることや提供されていないこと。
• 物理的なアクセス、root 化または脱獄されたデバイス、古いブラウザ、すでに侵害された被害者を必要とする攻撃。
• フィッシング、ソーシャルエンジニアリング、サービス拒否。
• 他のサイトの侵害で流出したパスワードなどのデータ。ただし、当社のサイトで有効な場合を除きます。
• 実際に動作する実証を伴わない自動スキャナーや AI ツールの出力、およびセキュリティへの影響がないベストプラクティスの助言。
• セキュリティへの影響がないバグ、およびお客様のアカウントやお支払いに関するご質問。これらについてはお問い合わせページをご利用ください。

これらに関する報告は、返信せずにクローズする場合があります。

安全なテストの方法

• ご自身で作成したアカウントのみを使用し、ご自身が所有する、または使用の許可を得ている番号とメールアドレスのみを使用してください。
• ご自身のものではないデータを閲覧、変更、削除しないでください。他者のデータにアクセスしてしまった場合は、そこで中止し、コピーを保持せず、当社にお知らせください。
• サービス拒否テスト、フォームへの大量送信、スパムの送信、他の利用者に影響するサービスの低速化は行わないでください。
• 当社のスタッフやお客様をだまそうとしないでください。また、物理的な攻撃も試みないでください。
• 問題により残高や有料サービスを取得できた場合は、問題の証明に必要な範囲を超えて使用せず、当社が取り消せるようお知らせください。
• 問題が修正され、開示について当社と合意するまで、問題を非公開にしてください。

報告に含める内容

• 問題の内容と、攻撃者がそれを使って何ができるか。
• 影響を受けるページ、API ルート、またはボットコマンド。
• 再現手順と、スクリーンショットまたは概念実証。
• 連絡先と、謝辞に記載を希望するお名前（ある場合）。

報告には他者の個人データを含めないでください。

当社の対応

• 対象範囲内のご報告の受領を 5 営業日以内にお知らせします。
• 問題を確認し、再現できるかどうかと今後の対応をお伝えします。
• 対応の間は進捗をお知らせし、修正が完了した際にもお伝えします。
• ご希望の場合は、修正について記載する際にお客様への謝辞を掲載します。

セーフハーバー

お客様が誠実に行動し、本ポリシーに従っている場合、当社はお客様の調査を許可されたものとみなします。当社は、これを理由としてお客様に対して法的措置をとることも、お客様を当局に通報することもありません。第三者がこれに関してお客様に対して措置をとった場合、当社はお客様が本ポリシーに従って行動したことを明確にします。

これは TalismanLeads 自身のシステムにのみ適用されます。当社は、他者のシステムのテストを許可することはできません。許可されているかどうか不明な場合は、まず当社にお問い合わせください。

公開

問題について何かを公開する前に、修正のための合理的な期間をいただきますようお願いします。当社は確認済みの問題を 90 日以内に解決することを目指しており、日程についてはお客様と合意します。問題によってはさらに時間がかかることがあり、ご報告の問題がそれに該当する場合はお知らせします。

報奨金

これは開示プログラムであり、バグバウンティではないため、報告に対する報奨金はお支払いしていません。ご協力に感謝するとともに、喜んで謝辞を掲載いたします。詳細を共有する前に支払いを求める報告は、返信せずにクローズします。

問題の修正後、発見内容とともにお名前を当社の殿堂に掲載する場合があります。お名前はご本人の許可を得た場合にのみ掲載し、掲載内容の削除はいつでもご依頼いただけます。