脆弱性開示ポリシー

私たちは欠陥のない、バグフリーのコードを書くことに努めています。しかし、ソフトウェアエンジニアなら誰もが理解しているように、ほとんどの場合、それは不可能です。そのため、この脆弱性開示プログラムを設けています。以下では、本プログラムのガイドライン、テストすべき内容、避けるべきテストについて説明します。また、問題の報告方法と報奨についても記載しています。

ルールはシンプルです：

本プログラムの対象範囲は以下のとおりです：

バグを探す際は、以下の行為を避けてください：

レポートの送信後、48時間以内に当社からご連絡します。通常はそれよりもかなり早くご連絡します。当社で問題の再現を試み、できる限り早急に修正を展開します。ほとんどの場合は迅速に対応できますが、アップデートが必要なアプリケーションレベルの脆弱性については、さらに時間がかかる場合があります。言うまでもないことですが、念のため明記しておきます。問題を当社に開示したことを理由に、あなたを訴えることはありません。

レポートの内容が確認され、問題であると判断された場合、その取り組みに対する報奨金を受け取る資格があります。実際の金額は、当社が判断する問題の深刻度のみに基づきます。これまで、開示された脆弱性に対して$100から$5000の報奨金をお支払いしています。

問題を開示するには、security (AT) windscribe.comまでメールでご連絡ください。当社のPGPキーはこちらで確認できます。できるだけ詳しくご説明いただき、問題を再現するための正確な手順をご記載ください。

広範囲に影響する重大な問題が発見された場合、影響を受けるすべてのユーザーに、4つの連絡手段（アプリ内通知、メール（登録時にメールアドレスを提供した場合）、Twitter、Reddit）でお知らせします。問題の詳細と解決策は、当社のブログに掲載します。自主的な情報開示の例