1対象範囲
- このWebサイト（earbunny.app）と、当社が運営するそのサブドメイン
- 保護者向けWebダッシュボード
- アプリとWebダッシュボードが利用する当社のAPI
- iOSアプリ（Apple Watchアプリとウィジェットを含む）
2対象外
- サービス妨害（DoS）攻撃、負荷テスト、ストレステスト
- 当社のチーム、ユーザー、委託先に対するソーシャルエンジニアリングやフィッシング
- オフィス、データセンター、端末への物理的な攻撃
- スパム、またはお問い合わせフォームや新規登録を使った大量送信
- 第三者が運営するサービス（App Store、Cloudflare、Vercel、Sentryなど）。これらは各提供元にご報告ください。
- 実際に悪用可能な影響が示されていない、自動スキャナーによる報告
3調査のルール
- ご自身で作成したテスト用アカウントを使ってください。アクセスルールの検証に2つ目の家族が必要な場合は、テスト用の家族をもうひとつ作成してください。
- 他人のデータにアクセスしたり、変更・削除したりしないでください。誤って他人のデータに到達した場合は、その時点で中止し、問題の証明に必要な範囲だけを取得して、私たちにお知らせください。
- 破壊的なテストは行わないでください。サービスの品質低下、データの削除、永続的な変更の設置は禁止です。
- 問題が修正され、公開について私たちと合意するまで、詳細は秘密にしてください。
- 善意にもとづき、法律の範囲内で行動してください。
4報告の方法
までご連絡ください。以下の内容を含めていただけると助かります。
- 見つけた内容と場所（URL、エンドポイント、アプリの画面、アプリのバージョン）
- 再現手順（必要に応じてスクリーンショットや短い動画も）
- 想定される影響
- 連絡方法と、謝辞にお名前の掲載をご希望かどうか
暗号化メール（PGP）にはまだ対応していません。他人の個人データは送らないでください。機密性の高い情報を共有する必要がある場合は、内容を説明していただければ、安全なやり取りの方法をご相談します。
5私たちのお約束
- 3営業日以内に報告の受領をご連絡します。
- 10営業日以内に内容を精査し、評価結果をお伝えします。
- 修正が完了するまで進捗をお知らせし、完了したらご連絡します。
- ご希望があれば、修正の公開後にお名前を掲載して感謝をお伝えします。
セーフハーバー（免責）。このポリシーに善意で従って行われた調査について、私たちが法的措置をとったり、当局に措置を求めたりすることはありません。このポリシーに沿った調査をめぐって第三者があなたに対して措置をとった場合は、あなたが当社の許可のもとで行動したことを明らかにします。6報奨金
現在、有償のバグバウンティは実施していません。私たちは小さなチームなので、守れない約束をするより、正直にそうお伝えしたいと考えています。ご了承いただいた方は、協力してくださった研究者として、このページの感謝リストにお名前を掲載します。
7security.txt
連絡先とこのポリシーは、機械が読み取れる形式でも/.well-known/security.txtに公開しています。データを守るしくみの概要はセキュリティのページをご覧ください。