送り先
件名に「security」と入れて、[email protected] 宛にメールしてください。同じアドレスは、このページの機械可読版である security.txt にも掲載しています。
セキュリティ上の問題について、GitHub の公開 issue を立てないでください。そこにあるリポジトリは監査用に公開している読み取り専用の抜粋で、issue は送信した瞬間から誰でも読めてしまいます。
含めていただきたい内容
再現できる報告は、スキャナーのスコアよりもはるかに価値があります。次の情報が多いほど、修正は早く進みます。
- 何を見つけたか（1〜2文で）。
- どこで見つけたか（正確な URL、アプリのバージョン、または拡張機能のバージョン）。
- 実行した順序での再現手順。
- 攻撃者が実際に何をできるか。影響に至る経路のない発見も歓迎しますが、誇張せず正直にそう書いてください。
- 確認に役立つもの（リクエストとレスポンスの組、スクリーンショット、短い動画など）。
他の人のデータは含めないでください。実証コード（PoC）が他の人のアカウント、文字起こし、メールアドレスを露出させてしまう場合は、その事実を伝えてそこで止めてください。収集せず、報告にも添付しないでください。
当社のお約束
- 1営業日以内、遅くとも2営業日以内に受領を確認します。営業日は月曜から金曜（UTC+3）です。これは他のすべてのサポート窓口でお約束している内容と同じです。
- 当社の見解をお伝えします。確認済み、再現不可、または問題として認めるが修正しない、のいずれの評価も、その理由とともにお伝えします。黙ってクローズすることはありません。
- 対応中は進捗をお知らせします。修正が出るまで連絡が途絶えることはありません。
- ご希望であればクレジットを掲載します。お好きな名前またはハンドル名で、このページに掲載します。匿名をご希望いただくこともできます。
- 修正されたときにお知らせします。また、永久に秘密にしておくことはお願いしません。
お願いしたいのは一点だけです。公開する前に、問題を修正するための妥当な猶予をください。当社が目安にしているのは90日で、それより長引きそうな場合は、何も言わずに期限を過ぎさせるのではなく、ご相談させてください。
セーフハーバー
このポリシーに従って善意で取り組んでいただいた場合、当社はお客様に対する法的措置を取らず、ホスティングプロバイダーや勤務先に対してそれを求めることもしません。お客様の調査は許可されたものとして扱い、第三者がそれについて申し立てた場合には、お客様がこのポリシーの範囲内で行動していたことを明らかにします。
「善意」とは、証拠を得た時点で手を止めたこと、自分のものではないデータにアクセス・変更・破壊しなかったこと、他の誰かに対してサービスを劣化させなかったこと、そして先に当社へ修正の機会を与えたことを指します。セーフハーバーが及ぶのは、このページが対象範囲としているものです。当社のプロバイダーのシステムには及ばず、それらを攻撃してよいという許可でもありません。
対象範囲
voxislive.comとその各言語のサブパス、およびそこにあるアカウント、ログイン、請求のフロー。- アプリが通信する認証・利用状況 API。
- Windows デスクトップアプリと Linux の snap。
- Chrome と Edge のブラウザ拡張機能。
- 法人向けパネル（アクセス権をお持ちの場合）。
対象外
これらは当社が許可できる立場にないもの、または当社が対処できる情報をもたらさないものです。
- サービス拒否、負荷テスト、実際のユーザーに対してサービスを劣化させるあらゆる行為。
- 当社のチーム、お客様、プロバイダーに対するソーシャルエンジニアリング、フィッシング、物理的なアクセスの試み。
- 当社の再委託先（サブプロセッサー）のシステム。Google、Alibaba Cloud、Polar、Resend はいずれも独自の開示プログラムを運営しており、当社は先方のインフラに対する許可を与えることができません。各社は当社の再委託先の一覧に記載しています。
- スキャナーの出力やヘッダー欠落のスコアだけで、影響が実証されていない報告。
- 攻撃経路のないベストプラクティス上の強化の不足。ご連絡は歓迎しますが、脆弱性ではなく改善として扱われることをご了承ください。
- スパム、自分のものではないアカウントへのブルートフォース、他の人のデータが関わるあらゆる行為。
報奨金はありません
当社は脆弱性の報告に対して報酬を支払いません。報酬を期待して何時間も費やしていただくより、はっきりそう申し上げておきたいと考えています。当社がご提供するのは、迅速で人間による回答、ご希望の場合の公開クレジット、そしてご自身で確認できる修正です。
当社が主張しないこと
開示ポリシーは認証ではありません。当社は ISO 27001 認証も SOC 2 レポートも第三者による保証も取得しておらず、ビジネスアソシエイト契約（BAA）も締結しません。トラストセンターでは、当社が主張していること、そして同様に重要な、主張していないことを示しています。音声がどこへ送られるか、お使いのマシンから外に出ないもの、どの第三者が関与しているかも含まれます。
謝辞
これまでに脆弱性を報告してくださった方はまだいません。報告があり、クレジットを希望される方がいれば、そのお名前をここに掲載します。