Tiquoバグ報奨金プログラム
ご自身で確認した脆弱性の報告を受け付けています。対象範囲と参加ルールを確認し、再現手順を添えてセキュリティチームにお知らせください。
仕組み
Tiquo製品の脆弱性を見つけ、手作業で確認します。
詳細な報告をセキュリティチームに送ります。
24時間以内に社内確認します。正式回答は後日になる場合があります。
チームが内容を調査・再現し、深刻度を判断します。
分類結果と報奨金額をお知らせします。
分類後30日以内に報奨金を支払います。
深刻度と報奨金額は、実際の影響、悪用の可能性、影響範囲をもとに、Tiquoが報告ごとに判断します。
AIで生成された虚偽の報告が数百件寄せられています。事実や有用な情報が含まれない報告は、お断りするか、回答しない場合があります。
本番環境のTiquoアカウントでバグバウンティの調査を行うには、事前にTiquoの書面による承認が必要です。この承認を得ずにこれらのアカウントを対象とする活動を行った場合、発見内容にかかわらず報奨金は支払われません。
対象範囲
本プログラムの対象は次のとおりです。
- tiquo.co
- Tiquo APIエンドポイント
- TiquoのiOS・Androidモバイルアプリ
- tiquo.appのウェブアプリとダッシュボード
- 認証および認可フロー
- 決済およびデータ処理
- Tiquoハードウェア
対象外
次の項目は報奨金の対象外です。
- Tiquoが所有しない第三者サービスや連携
- Tiquoの従業員や顧客を狙うソーシャルエンジニアリングやフィッシング
- サービス拒否攻撃（DoS/DDoS）
- 直接的なセキュリティへの影響を示せないスパムやレート制限に関する指摘
- 機密情報や顧客情報を含まない独立プロジェクト
- 古いブラウザーや実行環境を必要とする脆弱性
- すでに報告済み、または当社が把握している問題
- 手作業で確認した実証がない、自動生成・推測・AI生成による報告
- セキュリティヘッダーの欠如、無害なエラーメッセージや内部情報、機密性のないページでのクリックジャッキング、バージョン情報の公開、動作するエクスプロイトのない古いソフトウェア、セキュリティへの影響が実証されていない理論上のXSSやCORSの指摘。
報奨金の区分
再現可能で、セキュリティへの影響が実証された脆弱性のみが報酬の対象です。深刻度は脆弱性の名称やスキャナーの評価ではなく、実証された影響と悪用可能性によって決まります。実質的な影響のない報告には報酬を支払いません。
中核となる本番システムの侵害が実証され、広範な影響があるもの。
重大なセキュリティへの影響があり、動作が実証されたエクスプロイト。
悪用可能で、実質的ながら限定的な影響がある問題。より高額な報酬には「高」または「重大」に相当する影響の実証が必要です。
再現可能で、セキュリティへの影響が小さいながらも実証できる軽微な脆弱性。
追加報奨金
特に明確な報告、広範な影響、独創的な攻撃連鎖、修正時の緊密な協力には、追加報奨金を支払う場合があります。
報告ガイドライン
調査に必要な次の情報を記載してください。
- 1脆弱性の明確な説明
- 2再現手順
- 3影響を受けるURL、エンドポイント、画面
- 4テスト環境（ブラウザー、OS、端末）
- 5可能であれば、スクリーンショットや実証コード
- 6想定される影響についてのご自身の評価
1件の報告につき脆弱性は1つとし、異なる問題は別々に報告してください。
参加ルール
- 1他の利用者のデータへアクセスしたり、変更・削除したりしないでください。
- 2事前の書面承認なく、本番システムへ自動スキャンを実行しないでください。
- 3脆弱性、報告、実証、関連情報を公開しないでください。
- 4報告の作成にAIや大規模言語モデルを使用しないでください。ご自身の手作業による検証に基づく独自研究を求めます。推測的・未検証の報告は受理しません。
- 5常に誠実に行動してください。
研究者の保護
誠実に行動しルールを守る研究者に対して、Tiquoは法的措置を取りません。本プログラムはTiquoの裁量で提供され、内容を変更・中止でき、当社の判断を最終決定とします。
連絡先
報告先：
security@tiquo.coすべての報告を24時間以内に社内確認します。正式回答には時間を要する場合がありますが、10営業日以内に初期評価をお知らせします。状況確認の催促はお控えください。