脆弱性開示ポリシー（ページ原稿）

最終更新: 2026-10-28 対象: https://habilis.io および *.habilis.io（以下「当サイト」）

1. 目的

当サイトの脆弱性を、善意の研究者・利用者が安全に報告できる窓口を設けます。 本ポリシーは、当サイトに対する許可された範囲のセキュリティ調査に適用されます。 顧客環境・第三者のシステム・本件以外のサービスには適用されません。

2. 報告方法

• メール: sakai@habilis.io（当面の窓口。security@habilis.io は未作成のため使用できません）
• PGP: 未整備です。公開鍵を用意できていないため、暗号化が必要な場合はまずその旨だけをお知らせください
• Signal: 未整備です。代替の受け渡し方法を個別に案内します
• 件名: [VULN] 対象URL / 概要

機微な情報は、初回メールに添付しないでください。 まず概要と再現手順の最小情報を送り、安全な提出方法をこちらから案内します。

3. 報告に含めてほしい情報

• 対象URL、発生時刻（UTC）、環境（ブラウザ/OS）
• 再現手順（ステップ、必要な入力）
• 影響（何ができてしまうか）
• 証拠（スクリーンショット、HTTPレスポンス。個人情報はマスク）
• 連絡先と、公表時のクレジット表記の希望

4. 対応SLA

やむを得ず期限を超える場合は、理由と新しい目安を連絡します。

5. 対象範囲

• habilis.io のWebページ、フォーム、公開API
• *.habilis.io のうち、当社が管理するもの

6. 対象外

• サービス妨害（DoS/DDoS）、大量リクエスト、負荷試験
• ソーシャルエンジニアリング、フィッシング、物理侵入
• 第三者システム、顧客環境、提携パートナーのシステム
• マルウェアの設置、データの改変・削除・持ち出し
• 自動スキャナによる無差別探索（許可した範囲を超えるもの）
• 既に公知の脆弱性で、修正済みのもの

7. 安全な調査のルール（Safe Harbor）

次の条件を満たす善意の調査について、当社は法的措置を取りません。

• 本ポリシーの範囲内で行う
• テスト用アカウントなど、自分が正当にアクセスできる範囲にとどめる
• 発見したデータを閲覧最小限にとどめ、保存・公開しない
• 直ちに報告し、修正前に公表しない
• 法令・契約・第三者の権利を尊重する

条件を外れる行為（データ持ち出し、第三者への攻撃、恐喝、公表による脅迫等）には適用されません。

8. 報奨金

現時点では、金銭的な報奨金制度は設けていません。 有用な報告については、希望に応じて謝辞（クレジット）を掲載します。 報奨金制度を開始する場合は、本ページで条件を明示します。

9. 個人情報の扱い

報告に含まれる個人情報は、脆弱性の調査・修正・連絡の目的にのみ使用し、必要な範囲で捜査機関・専門家に共有します。 報告者の氏名を、同意なく公表することはありません。

10. 連絡先

• セキュリティ: sakai@habilis.io（脆弱性報告も同じ窓口です）
• 一般: sakai@habilis.io
• 所在地・電話: お問い合わせに基づき開示します