Tiquoバグ報奨金プログラム
当社はプラットフォームの安全性を重視し、セキュリティ研究者の活動を尊重しています。手作業で確認された脆弱性の責任ある報告を歓迎します。
仕組み
Tiquo製品で潜在的なセキュリティ脆弱性を発見します。
セキュリティチームへ詳細な報告を送信します。
24時間以内に社内確認します。正式回答は後日になる場合があります。
当社チームが調査、再現、深刻度の分類を行います。
分類結果と報奨金額をお知らせします。
分類後30日以内に報奨金を支払います。
深刻度と報奨金は、現実の影響、悪用可能性、範囲をTiquoが個別に評価して決定します。
対象範囲
本プログラムの対象は次のとおりです。
- tiquo.co
- Tiquo APIエンドポイント
- TiquoのiOS・Androidモバイルアプリ
- tiquo.appのウェブアプリとダッシュボード
- 認証および認可フロー
- 決済およびデータ処理
- Tiquoハードウェア
対象外
次の項目は報奨金の対象外です。
- Tiquoが所有しない第三者サービスや連携
- Tiquo従業員を狙うソーシャルエンジニアリングやフィッシング
- サービス拒否攻撃（DoS/DDoS）
- 直接的な安全上の影響がないスパムや速度制限
- 機密情報や顧客情報を含まない独立プロジェクト
- 古いブラウザーや基盤を必要とする脆弱性
- すでに報告済み、または当社が把握している問題
- 手作業で確認した動作証明のない、自動・推測的・AI生成の報告
報奨金の区分
報告は4段階に分類します。最終的な報奨金は、報告の品質、深刻度、利用者への潜在的影響によって決まります。
リモートコード実行、データベース全体へのアクセス、認証回避、決済侵害、大量の個人・金融データ流出など、全社に深刻な被害を与え得る脆弱性です。
権限昇格、保存型XSS、IDOR、APIのアクセス制御不備など、個々の利用者や機密データに重大な影響を与える脆弱性です。
反射型XSS、重要操作のCSRF、内部データの開示、CORS設定不備など、特定条件や利用者操作を必要とする脆弱性です。
セキュリティヘッダー不足、詳細すぎるエラー、機密性の低いページのclickjacking、既知の悪用経路がない旧ソフトウェアなど、影響が限定的な問題です。
追加報奨金
特に明確な報告、広範な影響、独創的な攻撃連鎖、修正時の緊密な協力には、追加報奨金を支払う場合があります。
報告ガイドライン
迅速な調査のため、次の情報を含めてください。
- 1脆弱性の明確な説明
- 2再現手順
- 3影響を受けるURL、エンドポイント、画面
- 4テスト環境（ブラウザー、OS、端末）
- 5可能な場合は画面画像や実証コード
- 6潜在的影響に関するご自身の評価
1件の報告につき脆弱性は1つとし、異なる問題は別々に報告してください。
参加ルール
- 1他の利用者のデータへアクセスしたり、変更・削除したりしないでください。
- 2事前の書面承認なく、本番システムへ自動スキャンを実行しないでください。
- 3脆弱性、報告、実証、関連情報を公開しないでください。
- 4報告の作成にAIや大規模言語モデルを使用しないでください。ご自身の手作業による検証に基づく独自研究を求めます。推測的・未検証の報告は受理しません。
- 5常に誠実に行動してください。
研究者の保護
誠実に行動しルールを守る研究者に対して、Tiquoは法的措置を取りません。本プログラムはTiquoの裁量で提供され、内容を変更・中止でき、当社の判断を最終決定とします。
連絡先
報告先：
security@tiquo.coすべての報告を24時間以内に社内確認します。正式回答には時間を要する場合がありますが、10営業日以内に初期評価をお知らせします。状況確認の催促はお控えください。