脆弱性のご報告

対象

SaQura 製品群のすべて（ライブラリ SDK、CertWatch、Crypto Inventory、Pass、Tresor、Messenger、Crypto API）、ウェブサイト saqura.de・saqura.org・kyototech.co.jp、およびこれらのために当社が運用するサービスが対象です。製造者・運営者は合同会社KyotoTech（京都）です。

連絡先

security@kyototech.co.jp までご連絡ください。機械可読の連絡先情報は /.well-known/security.txt にあります。機密性の高い詳細を最初のメールに書く必要はありません。初回のご連絡のあと、ご希望に応じて暗号化された連絡手段をご用意します。

ご報告に含めていただきたい情報

• 製品名とバージョン（ウェブサイトの場合はアドレス）、OS またはプラットフォーム
• 再現手順（可能であればサンプルの呼び出しや設定）
• 影響についてのご見解と、あれば実証コード
• 連絡方法と、お名前の公表を希望されるかどうか

当社の対応

• 3営業日以内（日本時間）に受領をご連絡します。
• 一次評価の結果と、ご質問に対応する担当者をお知らせします。
• 修正が提供できた時点、または当社の評価が報告と異なる場合には、理由とともにご連絡します。
• リリースノートへのお名前の掲載は、ご本人の同意がある場合に限ります。

報奨金制度は現在設けていません。当社は製造者として EU サイバーレジリエンス法（規則 (EU) 2024/2847）の適用を受けており、実際に悪用されている脆弱性については第14条に基づき所管当局へ報告し、影響を受ける利用者にお知らせします。

協調的な開示について

詳細の公開は、修正が提供されるまで、または遅くともご報告から90日後までお待ちください。別の時期をご希望の場合はご相談ください。善意に基づいて調査を行い、必要な範囲にとどめ、第三者のデータを閲覧・改変せず、サービスを妨害せず、当社に非公開でご報告いただいた方に対して、当社が法的措置をとることはありません。

この窓口の対象外

ライセンス、請求、使い方に関するお問い合わせは support@kyototech.co.jp までお願いします。個人情報に関するご請求は、当社のプライバシーポリシーに従って対応します。