achi - 脆弱性ポリシー

株式会社VIOLET（以下「当社」といいます）は、当社が提供するSlackアプリサービス「achi」（以下「本サービス」といいます）の安全性確保のため、外部の研究者・利用者・善意の第三者（以下「報告者」といいます）からの脆弱性報告を歓迎します。本ポリシーは、報告者が安心して脆弱性を報告し、当社が迅速かつ責任ある形で対応するための手続を定めるものとして、以下のとおり脆弱性開示ポリシー（以下「本ポリシー」といいます）を定めます。 第1条（対象範囲） 本ポリシーは、当社が運営する以下のサービスおよび資産を対象とします。 ・Slackアプリ「achi」およびその全機能 ・achiが利用するバックエンドエンドポイント 　・vio-slack.app.n8n.cloud配下の当社管理n8nワークフロー 　・.violet.co.jpの当社管理エンドポイント ・achi管理画面 ・当社が運営するデータベース 第2条（対象外） 以下は本ポリシーの対象外です。これらの問題が見つかった場合は、各サービスプロバイダの脆弱性開示窓口に直接ご報告ください。 ・サブプロセッサ（Slack、Anthropic、Supabase、Vercel、n8n、Google）のプラットフォーム自体の脆弱性 ・第三者ライブラリ・依存パッケージ自体の既知CVE（当社サービスにおける具体的な悪用可能性を実証していない場合） ・ソーシャルエンジニアリング、フィッシング、当社スタッフへの物理的接触 ・サービス拒否（DoS / DDoS）、ボリューム攻撃 ・本番環境に過剰な負荷をかけるテスト ・物理的オフィス・機器への攻撃 ・当社従業員・顧客個人を対象とした調査 第3条（報告方法） ・脆弱性のご報告は以下のメールアドレス宛にお送りください。 　・報告先：contact@violet.co.jp 　・件名（推奨）：[VDP] <簡潔な脆弱性の説明> ・報告には以下の情報を含めてください。 　1. 脆弱性の概要 　2. 影響を受けるコンポーネント・URL・エンドポイント 　3. 再現手順（PoC、curlコマンド、スクリーンショット等） 　4. 想定される影響（情報漏洩、権限昇格、データ改ざん等） 　5. 推奨される緩和策（任意） 　6. 報告者の連絡先（公表時のクレジット希望の有無） 第4条（当社の対応コミットメント） ・当社は、報告を受領した場合、以下の目標期間で対応いたします。 　・受領確認：2営業日以内 　・初期トリアージ・重要度判定：5営業日以内 　・進捗報告：14日ごと、または重要な進展があった時点で随時 　・修正完了の目標期間：Critical 7日以内 / High 30日以内 / Medium 60日以内 / Low 90日以内 ・営業時間は平日10:00〜18:00 JSTです。土日祝日・年末年始は応答が遅れる場合があります。 第5条（研究者へのお願い） 本ポリシーに基づく調査を行う際は、以下を遵守してください。 ・既存ユーザーのデータにアクセス・改ざん・削除しないこと ・ご自身が所有する、または明示的に許可されたテスト用Slackワークスペース・GA4プロパティ・アカウントのみを使用すること ・脆弱性確認に必要な最小限の操作にとどめ、サービス品質を妨げる行為を行わないこと ・当社と事前に協議せずに脆弱性の詳細を第三者に開示しないこと ・取得した非公開情報を保存・複製・公開・販売しないこと ・自動化ツールによる過度なスキャン（毎秒数十リクエスト以上）を行わないこと 第6条（Safe Harbor／善意の研究者の保護） ・本ポリシーを遵守して善意で実施された脆弱性調査について、当社は以下を確約します。 　・民事上の請求（不正アクセス禁止法等に基づく損害賠償請求を含みます）を行いません 　・不正アクセス行為の禁止等に関する法律違反として警察に通報・告訴することを行いません 　・DMCA等の知的財産関連法に基づく削除請求を行いません 　・当社サービス利用規約違反に基づくアカウント停止を行いません ・ただし、以下に該当する場合は本Safe Harborの保護対象外となります。 　・他のユーザーの個人データへの意図的なアクセス、改ざん、削除、漏洩 　・サービス可用性を著しく損なう行為（DoS / DDoS等） 　・取得したデータの公開・販売・第三者への譲渡 　・脆弱性を悪用した金銭・サービスの不正取得 　・本ポリシーに違反するその他の行為 ・なお、日本国外の刑事法・現地の不正アクセス禁止法等の適用については本Safe Harborの対象外であり、報告者ご自身の責任となります。 第7条（開示方針） ・当社は協調的開示（coordinated disclosure）を採用します。 ・修正リリース完了までは、報告内容を公開しないようお願いします。 ・標準的な開示禁止期間は90日です。複雑な修正で延長が必要な場合は、報告者と協議のうえ延長を要請する場合があります。 第8条（評価対象外の指摘） ・以下の指摘は、悪用可能性の具体的な実証がない限り、受領確認のみで個別対応を行わない場合があります。 　・セキュリティヘッダーの不足（X-Frame-Options、Content-Security-Policy等）のみで悪用PoCのないもの 　・メールヘッダー（SPF / DKIM / DMARC）の構成に関する一般的指摘 　・レート制限の指摘で具体的な悪用シナリオのないもの 　・Self-XSS（被害者自身のブラウザにのみ影響） 　・機密性のないページに対するクリックジャッキング 　・公開情報の列挙（パブリックなユーザー名列挙等） 　・物理アクセスを前提とする攻撃シナリオ 　・自動スキャンツールの出力のみによる指摘（手動検証なし） 　・ベストプラクティスの推奨（具体的な脆弱性を伴わないもの） ・ただし、これらが連鎖して具体的な攻撃シナリオを構成する場合は対象になります。 第9条（金銭報奨について） ・本ポリシーは協調的開示プログラムであり、金銭報奨プログラムではありません。当社は脆弱性報告に対する金銭支払いを行いません。 ・ただし、報告者の貢献に対し、修正リリースノートでの謝辞をもって謝意を表します。 第10条（準拠法・管轄） 本ポリシーの解釈および本ポリシーに基づく当社と報告者の間の関係には、日本法を適用します。本ポリシーに関連する紛争については、東京地方裁判所を第一審の専属的合意管轄裁判所とします。 制定日：2026年5月21日 連絡先：contact@violet.co.jp