ActorDoでは アクタードゥ、ユーザー、パートナー、システムに対して、最高水準のセキュリティ、完全性、信頼を維持することに取り組んでいます。
Actorについて詳しくはこちら データセキュリティ と プライバシーポリシー
当社の脆弱性報告プログラム（VDP）は、セキュリティ研究者、倫理的なハッカー、コミュニティの皆様が、当社の製品やサービスのセキュリティ上の脆弱性を明確かつ安全に、責任を持って報告できるよう設計されています。
このプログラムは、協力と責任ある開示を促進し、リスクが悪用される前に特定、修正し、最小限に抑えることを可能にします。
対象範囲
対象となるシステム／資産には、以下が含まれます （ただし、これらに限定されるものではありません）：
- ActorDoのウェブアプリケーションとAPI
- バックエンドサービス、マイクロサービス、クラウドインフラストラクチャ
- 事前承認の範囲内で許可される内部システム（連絡先を参照）
対象外のシステム／資産には、以下が含まれます:
- ActorDoが開発していないサードパーティのサービス、連携機能、依存関係
- 物理的な攻撃／ハードウェア（例：データセンター、デバイス。ただし明示的に許可されている場合を除く）
- ソーシャルエンジニアリング、フィッシング、なりすまし攻撃（書面で明示的に許可されている場合を除く）
- セキュリティ以外のバグや機能の要望
- サービスの中断やサービス拒否を引き起こす可能性のあるテスト
対象となるには、脆弱性が以下の条件を満たす必要があります：
- 〜に含まれていること 一般公開されている最新バージョン （または正式にリリースされたベータ版）
- 〜につながる セキュリティ上の影響 （例：データ漏えい、権限昇格、リモートコード実行、制御の回避）
ガイドラインと行動規範
参加にあたっては、表彰や報奨の対象となるため、以下のルールを守ってください：
- 害を与えない
- データを削除または変更したり、通常の運用を妨げたりしないでください。
- サービス妨害（DDoS攻撃の実行やサービスの品質低下など）につながる行為は避けてください。
- 調査は必要最小限にとどめる
- 脆弱性の実証に厳密に必要な範囲を超えて、非公開データにアクセスしたり、操作したりしないでください。
- 可能であれば、テスト環境または本番環境ではないアカウントを使用してください。
- 機密保持
- ActorDoが対応および修正を行うための合理的な期間を設ける前に、調査結果を公開（ブログ、ソーシャルメディアなど）しないでください（「開示のタイミング」を参照）。
- 情報を第三者と共有したり、販売したりしないでください。
- ソーシャルエンジニアリングの禁止
- フィッシング、なりすまし、または類似の手法は、明示的に許可されていない限り対象外です。
- プライバシーと法的制約を尊重する
- プライバシー関連法に違反したり、脆弱性の実証に必要な範囲を超えて機密性の高い個人データにアクセスしたりしないでください。
- 適用される現地の法律、規制、ベストプラクティスを遵守してください。
- 開示と連携
- 別途合意がない限り、問題を修正するための期間（通常90日）を設けてから、一般に開示してください。
- より早い開示が必要だと思われる場合（悪用されるリスクがある場合など）は、短縮したスケジュールを調整できるよう、お知らせください。
これらのルールに違反した場合（例：破壊的な行為、調整を経ない公開）は、報奨や公的な表彰の対象外となることがあります。
脆弱性の報告
報告に含める内容
報告は次の宛先にお送りください alex@actordo.com 以下の情報を含めてください：
- 問題の簡単な説明
- 再現手順または概念実証
- 影響を受けるシステムまたはURL
- （任意）謝辞への掲載を希望するお名前またはハンドルネーム
ご報告を受領後、以内に受領確認をご連絡します 5営業日 修正に取り組む間、進捗をお知らせします。有効と判断されない報告については、すべてに受領確認をお送りするとは限りません。
報告の際は、匿名を希望するか、氏名を公表して謝辞を受けることを希望するかを明記してください。
謝辞と報奨
- 影響の大きさや報告の明確さに応じて、お礼の報酬を提供したり、公に功績を称えたりする場合があります。
- 報酬の提供は当社の裁量によるもので、報告内容の深刻度と質によって異なります。
- 重複する報告や影響の小さい報告は、対象外となる場合があります。
セーフハーバー
誠意をもってこのポリシーに従った場合、あなたは 法的措置から保護されます あなたの調査に関連する。
ActorDoの安全を守るためにご協力いただき、ありがとうございます。