airnova脆弱性報告ガイドライン
受付対象と公開までの流れをご確認ください。調査の円滑化につながります。
脆弱性の報奨金
Airnova の受付対象に該当し、有効性が検証された脆弱性には、5–1,000 USD の報奨金を提供します。
- 低リスク
- 影響範囲が限られ、悪用条件が厳しく、実際のセキュリティ上の影響が小さい問題。
- 高リスク
- 不正アクセス、機密情報の漏えい、重要な業務権限の回避などにより、利用者や業務に大きな影響を及ぼす問題。
- 重大リスク
- 中核システムの制御、多数のアカウントの乗っ取り、大規模な機密情報漏えい、重大な資金リスクにつながる、広範囲または深刻な問題。
金額は実際の影響に基づいて評価し、リスク区分ごとの固定額は設けません。影響範囲、悪用の容易さ、必要な権限、アカウント・データ・資金への影響を総合的に評価し、リスク区分と報奨金額をメールでお知らせします。
リスク区分は検証結果に基づき、脆弱性の名称や報告者の自己評価だけでは決まりません。報告の提出だけで報奨金が確定するものではありません。
受付対象
Airnova が所有または運営する製品・サービスにおける、再現可能で実際のセキュリティ上の影響がある問題を受け付けます。
- Airnova 公式サイトと当社が運営する API、アカウント・決済インターフェース。
- Airnova 公式 iOS・Android アプリ。
例：アクセス制御の不備、アカウント乗っ取り、機密情報の漏えい、インジェクション、クロスサイトスクリプティング、決済・注文の権限不備。
第三者の決済サービス、通信事業者、アプリストア、外部購入サイト自体の問題は各運営者にご連絡ください。Airnova の連携方法に起因する問題は受付対象です。通常の注文、返金、通信の問題はカスタマーサポートへご連絡ください。
報告に必要な情報
- 簡潔なタイトルと対象サイト、API またはアプリのバージョン
- 発見日時、テスト環境、前提条件
- 再現手順、期待される動作、実際の結果
- セキュリティ上の影響と最小限の証拠または機密情報を除いた画像
- 返信用メールアドレスと氏名公開による謝辞の希望
パスワード、完全なアクセストークン、eSIM 有効化コード、決済認証情報、他者の個人情報を送らないでください。安全に伏せ字処理ができない証拠は、まず概要を送り、送信方法をご相談ください。
報告メールのひな形報告への対応手順
受付・確認
連絡先を通じて内容を確認し、必要に応じて追加情報を伺います。
再現・評価
対象の帰属、再現条件、影響範囲、深刻度を確認します。
修正・検証
対処を調整し、リスクと検証結果に応じて進捗を共有します。
公開の調整
修正または軽減策の後に公開を調整し、同意を得た場合のみ謝辞を掲載します。
対応期間は影響と再現性により異なります。本ページは固定の修正期限を保証するものではありません。
協力と情報公開
- 自身のアカウントまたは明示的に許可された環境のみを使い、問題の確認に必要な最小限の操作にとどめてください。
- サービス停止、データ破壊、ソーシャルエンジニアリング、大量データ取得を避けてください。他者の情報に遭遇した場合は、それ以上アクセスしないでください。
- 悪用可能な詳細の公開前に修正や軽減策をご相談ください。本ページは追加のアクセス権やテスト権限を付与しません。