最終更新日: 2026-10-31
セキュリティ上の脆弱性を発見された場合の要点は次のとおりです。[email protected]にメールをお送りください。当社は3営業日以内に受領を確認し、以下の範囲内での誠実な調査に対して、法的措置を取りません。
脆弱性の報告
報告は[email protected]宛てに、件名に「Security」と記載してお送りください。
有用な報告には、発見した内容、その場所、および当社が再現できる十分な詳細(概念実証、影響を受けるURLまたはエンドポイント、攻撃者がそれを使って何ができるか)が含まれています。スクリーンショットも役立ちます。正式な文書にする必要はなく、英語でもドイツ語でも構いません。
当社のコミットメント
- 当社は、真正と思われる報告について、3営業日以内に受領を確認することを目指します。
- 当社は、10営業日以内に、当社がそれを脆弱性と考えるかどうかおよび大まかなスケジュールを含む、初期評価を行うことを目指します。
- 当社は、対応中、連絡が途絶えることなく、お客様に最新の状況をお知らせします。
- 当社は、以下の範囲内で誠実に行われた調査に対して、お客様に対する法的措置を取らず、他の者にそれを求めることもしません。これには、そのような調査を当社の規約違反として扱わないことが含まれます。
当社は、現時点では有料のバグバウンティを実施していません。研究者が実施していると思い込んで週末を費やすことのないよう、このことを率直に述べておきます。
当社が回答しない可能性のある報告
上記のコミットメントは、真剣にセキュリティ調査を行っている方々に対するものです。そのアドレスに届くすべてのものに回答するという約束ではありません。
当社は、不正と思われるもの、一括送信されたもの、ボットまたは大規模言語モデルによって生成されたもの、あるいは主に金銭または証明書を引き出すために提出されたものを、返信なしにクローズすることがあります。
実際には、次のようなものです。概念実証がない、影響が説明されていない、スキャナーの出力をそのまま貼り付けている、詳細を共有する前に報奨金を要求している、または確認すると技術的な主張が成り立たない、流暢で長い報告書。当社の判断が誤っている場合は、不足している詳細を添えて一度お知らせください。改めて確認いたします。
対象範囲
editingtools.deのウェブサイトおよびそのサブドメイン、EditingTools.ioのウェブツールおよびAPI、ならびに当社のアプリおよびプラグイン。当社のダウンロード可能なソフトウェアについては、EUサイバーレジリエンス法(規則(EU)2024/2847)が求めるとおり、脆弱性に対処し、実際に悪用されているものを報告します。editing.tools,対象範囲内:editingtools.io,editingtools.eueditingtools.com,およびsaqrotki
他者に属するものであり、当社がそれらに対するテストを承認できないため。当社のインフラストラクチャプロバイダー、決済事業者、アプリストア、およびサブプロセッサーのページに記載されているその他の第三者が該当します。これらについては、プロバイダーに直接報告してください。対象範囲外:
お控えいただきたいこと
- ご自身以外の者に属するデータにアクセスし、変更し、または削除すること。テスト用のアカウントが必要な場合は、当社にお申し付けください。
- サービス拒否のテスト、大量の自動スキャナーの実行、その他他の人々にとってサービスを低下させる行為を行うこと。
- 当社の担当者または当社のプロバイダーに対して、ソーシャルエンジニアリング、フィッシング、または物理的な試みを行うこと。
- 当社が修正するための合理的な機会を得る前に、詳細を公表すること。当社は90日を提案しており、より長い期間が必要な場合は、お客様と相談いたします。
当社がすでに脆弱性ではないと認識している問題
お時間を無駄にしないよう記載します。次のものは頻繁に報告されますが、当社は対応せずにクローズします。
- 影響が実証されていない、セキュリティヘッダーの欠如
- 動作する概念実証を伴わない、自動スキャナーの出力
- 現在のクライアントのいずれにも影響しない、TLS設定の弱点
- 影響が報告者自身に限られるエンドポイントにおけるレート制限
サービスの保護方法
当社をベンダーとして評価される方のための概要です。GDPR第32条に基づく当社の技術的・組織的措置の完全な記述は、データ処理契約の附属書2です。
- インフラストラクチャはドイツにあり、欧州連合内のプロバイダーによって運用されています。
- すべての通信は、転送中にTLSで暗号化されています。ストレージ層の保存データは暗号化されています。
- 管理者アクセスには、多要素認証を伴う個人ごとの記名アカウントが必要であり、最小権限に基づいて付与されます。
- アップロードされたファイルは処理後に削除されます。結果は、ユーザーが設定した保存期間の後に失効します。
- お客様のコンテンツは、機械学習モデルまたはAIモデルの学習に使用されません。
- サービスは、独立したセキュリティ企業による評価を受けています。要約は、秘密保持契約に基づき、請求に応じて事業者のお客様に提供されます。
インシデントの当社への報告
お客様のデータに影響を及ぼす個人データ侵害があったとお考えの場合は、[email protected]までご連絡ください。データ処理契約の第9条に基づき、当社は、侵害を認識した後、不当に遅滞することなく、いかなる場合も48時間以内に、影響を受けた事業者のお客様に通知します。