バグバウンティと脆弱性開示ポリシー

セキュリティの問題を報告する

件名を"Security report"として、support@xquik.comにメールしてください。影響を受けるURL、影響の内容、再現手順、裏付けとなる証拠を含めてください。送信する前に、秘密情報と関係のない個人データは取り除いてください。

テストできる範囲

• xquik.com
• dashboard.xquik.com
• docs.xquik.com
• 公開されているXquikのAPI、Webhook、OAuth、SDK、MCPサーバー

対象外

• X（Twitter）を含む第三者のサービス
• お客様が管理するエンドポイント、たとえばお客様のWebhookサーバー
• 他のお客様のアカウントとデータ

安全にテストするには

• テストには自分のアカウントだけを使ってください。XquikでもX（Twitter）でも同じです。
• 自動アクセスは少量に抑え、公開しているレート制限を守ってください。
• サービス妨害、負荷テスト、ストレステストは行わないでください。
• スパムを送らないでください。他の人のX（Twitter）アカウントを操作しないでください。
• 他のお客様のデータにアクセスしないでください。触れた場合は中止して、ご連絡ください。
• ソーシャルエンジニアリングやフィッシングは行わないでください。
• プライバシーの侵害、データの損失、サービスの低下を避けてください。
• 問題は速やかに報告し、確認中は内容を口外しないでください。
• これらのルールは、実行するAIエージェントやスキャナーにも適用されます。

セーフハーバー

Xquikが所有するサービスでは、このポリシーに従った調査を許可します。その調査は利用規約の違反になりません。善意による偶発的な違反について、Xquikは法的措置を取りません。このポリシーは、第三者のシステムやデータへのアクセスを許可するものではありません。

回答までの時間

• 最初の返信は3営業日以内にお送りします。
• トリアージの結果は14日以内にお伝えします。
• 追加の証拠や再現手順をお願いすることがあります。
• 可能な範囲で、修正の主な進捗をお知らせします。

報奨

報奨は金銭の場合があります。金額は問題の影響によって異なり、Xquikが決定します。すべての報告に報奨が出るわけではありません。

報奨の対象は、新しく、再現でき、対象範囲内で、実際に影響のある問題だけです。スキャナーの出力、検証していないAIの出力、ヘッダーの欠落、ベストプラクティスの指摘は対象外です。端末やアカウントの侵害が前提となる問題も対象外です。

ご了承いただければ、確認できた報告をお名前とともに掲載します。