1. 目的
本規定は、株式会社Hobby Worksが管理する対象について脆弱性情報を適切に受け付け、安全性の向上につなげることを目的とします。
2. 対象範囲
対象は、https://hobby-works-inc.com/ のホストで当社が管理する機能に限ります。wwwを含むサブドメイン、旧ドメイン、第三者が提供する基盤・サービス、顧客システムその他当社が管理しない対象は含みません。
3. 有効な報告
機密性、完全性または可用性に具体的な影響を与え得る脆弱性で、再現に必要な最小限の証拠があるものを対象とします。実害を発生させる必要はありません。
4. 対象外
- 見た目や操作感のみの問題
- 具体的な影響を示さないHTTPヘッダーやバージョン情報の指摘
- 既に受領済み、既知または重複する報告
- 対象範囲外のシステムまたは第三者サービスに関する報告
5. 調査前の申請と条件
報奨を希望する場合は、調査を始める前に、予定する対象、方法、期間および希望する予算枠を申請してください。当社が事前承認する際に、調査対象、承認期間および予約する報奨金の上限額を明示します。予約の標準期間は承認日から7日間です。延長が必要な場合は、期限前に個別の承認を受けてください。期間内に報告された案件は、審査が終わるまで予算枠を保持します。予算枠を確保できない申請は、着手前にその旨をお知らせします。事前承認を受けずに行われた調査について、報奨の支払は保証しません。
承認された調査でも、ご自身が管理するアカウントとテストデータを使い、サービスへ負荷を与えない範囲で、再現に必要な最小限の確認にとどめてください。脆弱性を確認できた時点で調査を停止し、報告してください。偶然に脆弱性を発見した場合は、それ以上の調査を行わず、安全な報告窓口へお知らせください。偶然の発見に関する報告も受け付けますが、事前承認がない場合の報奨は保証しません。
6. 禁止事項
- DoS・DDoSその他サービスを不安定にする行為
- 第三者の情報を取得、閲覧、改変または削除する行為
- マルウェアの設置・配布、ソーシャルエンジニアリング
- 事前許可のない大量・自動スキャン
- 実際の送金、購入、メール送信またはスパム行為
- 法令に違反する行為または第三者の権利を侵害する行為
7. 報告内容
概要、対象URL、確認日時、再現手順、想定される影響、必要最小限かつ機密情報をマスキングした証拠、連絡先をお知らせください。初回報告には、口座情報、パスワード・秘密鍵等の秘密情報、第三者の個人情報を含めないでください。
8. 受領・調査
報告の受領から14営業日以内を目安に受領連絡を行います。受領連絡は、脆弱性または報奨の認定を意味しません。必要に応じて追加情報をお願いし、影響と再現性を確認します。
9. 報奨の対象
原則として、事前承認を受けた調査から、同一原因の脆弱性について最初に届いた有効な報告を審査対象とします。同じ根本原因から生じる複数の事象は、まとめて一件として評価する場合があります。事前に予約した金額は報奨金の上限であり、脆弱性の有効性や支払額を保証するものではありません。
10. 重要度と金額
具体的な影響、再現性、悪用の難易度、影響範囲および報告品質等を踏まえて個別に判断します。すべての報告に支払を保証するものではありません。対象外とする場合や追加情報が必要な場合は、その理由または確認事項をお知らせします。
| 重要度 | 報奨金 |
|---|---|
| Critical | 8,000〜15,000円 |
| High | 2,000〜8,000円 |
| Medium | 800〜2,000円 |
| Low | 500〜800円 |
初回の報奨金総予算は5万円です。振込手数料はこの総予算に含めず、当社が別に負担します。予約中の報奨上限額と確定した支払額の合計が、総予算を超えないよう管理します。
11. 支払と情報管理
報奨を決定した場合は、必要な情報を確認した後、60日以内を目安に国内口座への振込を行います。振込手数料は当社が負担します。支払に必要な税務・法令上の確認をお願いする場合があります。口座情報は支払決定後に指定する安全な方法でお預かりし、情報取扱責任者だけが取り扱います。脆弱性の証拠は、情報取扱責任者と対応に必要な担当者だけに制限して共有します。
12. 責任ある開示
脆弱性情報を公開する場合は、事前に当社の明示的な承諾を得て、内容と時期を協議してください。修正や確認に時間を要する場合は、保留理由をお伝えし、開示時期を改めて協議します。法令上必要な届出や、弁護士・IPA等への非公開相談を妨げるものではありません。
13. 善意の調査
本規定を守り、善意で行われた調査について、当社は原則として、その調査行為だけを理由に法的措置を講じる意図はありません。ただし、違法行為を許可するものではなく、第三者による請求や措置からの免責を保証するものでもありません。
14. 個人情報・謝辞
報告者の個人情報はプライバシーポリシーに従って取り扱います。氏名・ハンドルネーム等を謝辞として掲載する場合は、ご本人の同意を得ます。
15. 変更・停止・終了
本規定を変更し、受付を停止し、または終了する場合は、本サイトで内容と適用日時をお知らせします。停止日時より前に承認して確保した予算枠は遡って取り消さず、受領済みの報告は原則として受領時の条件に基づいて評価します。予算枠を確保できない新規申請には、調査開始前にその旨をお知らせします。報奨付き調査の受付を停止した後も、偶然発見した脆弱性を安全に報告できる窓口は維持します。
受付開始日：2026年10月29日