脆弱性開示ポリシー

1. 報告の方法

次のメールアドレスへお送りください。日本語または英語で受け付けます。

メール: tutter.fish+security@gmail.com

ご報告には、分かる範囲で次の内容を含めてください。

• 問題が起きる URL・画面・機能
• 再現の手順（使ったリクエストやスクリーンショットがあれば添えてください）
• 想定される影響（誰の、どの情報や操作に影響するか）
• ご連絡先と、謝辞への氏名・ハンドル名の掲載を希望されるか

パスワードや個人情報など、第三者に見られると危険な情報は最初のメールに含めないでください。詳細の受け渡しが必要な場合は、こちらから安全な方法をご案内します。

独立行政法人情報処理推進機構（IPA）の「情報セキュリティ早期警戒パートナーシップ」を通じたご報告も受け付けます。

2. 報告後の対応

• ご報告から1か月以内の返信に努めます。
• 内容を確認し、問題があると判断したものは修正します。修正の見込みや結果は、可能な範囲でお知らせします。
• ご報告の内容とご連絡先は、問題の確認と修正のためにだけ使います。

3. 対象範囲

対象

• tutter.fish で提供する本サービスの Web サイトと API

対象外

• 本サービスが利用する外部サービス（Google Maps、Google Cloud、Firebase、Stripe、LINE など）そのものの問題。各社の窓口へご報告ください
• 自動スキャンツールの結果だけで、実際の影響を示せないもの（例: 機密情報を扱わないページでのクリックジャッキング、バージョン表記の露出）
• 大量のリクエストを送ることで初めて起きるサービス停止（DoS）
• 運営者やユーザーをだますこと（ソーシャルエンジニアリング・フィッシング）を前提とするもの

4. 調査にあたってのお願い

• ご自身のアカウント、またはご自身で作成したテスト用アカウントだけを使ってください。
• 他のユーザーの情報を閲覧・変更・削除しないでください。調査の途中で他人の情報に触れてしまった場合は、そこで調査をやめ、取得した情報を削除したうえでご報告ください。
• サービスの動作を妨げるような大量のリクエストや、自動スキャンツールによる高頻度のアクセスは行わないでください。
• 問題が修正される前に、内容を公表しないでください。公表を希望される場合は、事前にご相談ください。

5. 善意の調査の保護（セーフハーバー）

本ポリシーに従い、常識的な範囲内で善意に行われた調査とご報告について、本サービスが法的措置をとることはありません。ただし、外部サービスの運営者など、本サービス以外の第三者の判断までは約束できません。判断に迷う調査は、行う前にご相談ください。

6. 報奨金について

本サービスは個人で運営しているため、報奨金（バグバウンティ）はお支払いしていません。報奨金を条件とするご報告にはお応えできません。

7. 謝辞

ご報告により問題を修正できた方のうち、掲載を希望された方のお名前（ハンドル名）を、修正後にこちらへ掲載します。

現在、掲載はありません。