セキュリティと脆弱性報告

Keigoへ脆弱性をご報告ください。脆弱性開示ポリシー、対象範囲、セキュリティチームへの連絡方法を掲載しています。

最終更新日: 2026年5月9日

Keigoはお客様のデータ（メールアドレス、Stripe経由の支払い情報、アップロードされた書類（ビザ、税務、本人確認）、AI会話履歴）を取り扱います。セキュリティを真摯に受け止め、弊社のお客様を守るためにご協力いただく研究者からのご報告を歓迎します。

セキュリティ上の問題を発見されたと思われる場合、公開する前にプライベートでメールにてご連絡ください。48時間以内のご返信、5営業日以内のトリアージ、深刻度に応じた修正を目指します。

GPG鍵はご要望に応じてご提供します。再現手順、影響を受けるURL、クレジットを希望される場合のハンドル名をお知らせください。

認証フロー、セッション管理、アカウントロックアウト、パスワードリセット

Stripe決済・Webhook、サブスクリプション状態、プラン制限

S3書類アップロード/ダウンロード、プリサインドURL処理、ZIPエクスポート

DoS / DDoS / ボリューム攻撃（レート制限は想定済み。意図的な過負荷は禁止）

従業員、業務委託先、エンドユーザーへのソーシャルエンジニアリング

インフラやオフィスへの物理攻撃

他のユーザーのアカウントデータの閲覧（ご自身のテストアカウントをご利用ください。誤って他人のデータにアクセスされた場合は、ただちにご報告のうえ削除してください）

本ポリシーを善意で遵守し、問題を実証するために必要以上のデータにアクセスせず、公開前に修正のための合理的な時間（標準90日）を弊社に与え、Keigoまたはそのユーザーを害するために問題を利用しない研究者に対して、弊社は法的措置を取りません。

弊社はまだ正式なバグバウンティプログラムを設けるほどの予算を持たない小規模チームです。お礼として以下をご提供します：

— 確認された固有の脆弱性に対し、本ページでの公開クレジット（ご同意の場合）

— Keigoアカウント終身の The Vault 無料提供

— 心からの感謝の気持ち — あなたの貢献は日本に住む外国人コミュニティの安全に直結します。

東京のサーバーで保存時に暗号化（AES-256）

通信時もHTTPS/TLSで暗号化

公開されず、有効期限付きのプライベートリンクからのみ開けます

各アカウントのファイルは他のアカウントから隔離されています

Snap & Sortで解析した写真は解析後に保存されません