責任ある開示方針

資金を移動するサービスは、善意の人々であれ他の誰であれ、常にテストされることになります。私たちは、インシデントよりも報告から欠陥を知ることを望み、ここに記載された範囲内で誠意を持って行われた研究について、誰も訴追しないことを約束します。

現段階では金銭的な報酬は提供されません。私たちは、果たせないバウンティプログラムを発表することはありません。私たちが提供するものは具体的です：迅速な受領確認、技術的な担当者、修正までの追跡、そして希望があれば公的なクレジットです。

対象範囲

• 公開サイトとそのアプリケーションページ。
• 公開されているプログラミングインターフェースのエンドポイント。
• 認証、セッション、パスワードリセットの仕組み。
• 別のユーザーのデータの読み取り、変更、または転用につながる欠陥。
• 金額、受取人、レート、または注文状態を変更できる欠陥。
• 秘密、バックアップ、または内部環境を露出させる設定ミス。

対象外

• 当社のベンダー自身のサービス：それらは直接、それぞれのプログラムを運営している発行者に報告してください。
• 悪用可能性の証明がない自動スキャナーによる報告。
• 実証された影響のないヘッダーまたは設定に関する発見 — 推奨ヘッダーの欠如、公開コンテンツ上の属性のないクッキーなど。
• 当社のスタッフ、ベンダー、またはユーザーに対するソーシャルエンジニアリング。
• サービス拒否、フラッディング、負荷テスト（いかなる形式でも）。
• すでに侵害されたデバイスへの物理的アクセスを必要とする脆弱性。

これらの規則は形式的なものではありません：それらは、私たちの訴追しないという約束がカバーする範囲を正確に定義します。

1. 自分のアカウントと自分のデータのみを使用してください。ユーザー間の分離をテストする必要がある場合は、2つ目のアカウントを作成してください。
2. アクセスが実証されたらすぐに停止してください。第三者に属するデータを読み取ったり、コピーしたり、外部に送信したりしないでください。
3. サービスを劣化させないでください：フラッディング、削除、または自分自身のもの以外の本番データの変更は行わないでください。
4. 欠陥が修正されるまで、または私たちが合意した期限が切れるまで、欠陥を公開しないでください。
5. 意図せず個人データに到達した場合は、直ちに停止し、それを保持せず、報告書にその旨を記載してください。

有用な報告書には5つの要素が含まれます：影響を受けるコンポーネント、実際の影響、再現手順、最小限の証拠、およびテストのタイムスタンプ。それ以外は快適さのためです。

報告書には、第三者に属する個人データ、実際の識別子、または完全な秘密を含めないでください。部分的に編集されたキャプチャでアクセスを実証するのに十分です。

その後、クローズまで少なくとも2週間ごとにステータス更新を受け取ります。発表すべき新しいことがない場合でも同様です。沈黙は研究者を公表へと駆り立てるものです。当社はそれを避けたいと考えています。

• 修正を確認し、クローズ前に検証していただきます。
• 脆弱性がデータを露出させた可能性がある場合、悪用が発見されなくてもインシデントノートを公開します。
• 希望があれば、選択した名前またはハンドル名で公にクレジットします。匿名を希望する場合は、一切クレジットしません。
• 独自の分析を執筆したい場合は、公開日を調整します。