A2Z 脆弱性報告ポリシー
公開用ポリシーバージョン：1.0
施行日：2026-10-01
1. 目的
A2Zは、利用者とサービスの保護に役立つ報告を受け付けます。本ポリシーは、脆弱性の報告方法、試験対象、禁止行為、善意の報告者に対するgathronの対応およびセーフハーバーの条件を定めます。
本制度は脆弱性報告制度であり、バグバウンティではありません。gathronは報奨金制度を運営していません。報告に対する金銭、物品、雇用、氏名掲載その他の報酬を約束しません。
2. 連絡方法
報告はinfo@a2z.gathron.comへ送信してください。プレイヤー通報、CALLSIGN、HELP、公開SNSまたは公開Issueで脆弱性を報告しないでください。
可能な範囲で次を含めてください。
- 対象ホスト、エンドポイント、アプリ版およびアカウント種別
- 脆弱性の概要と想定される影響
- 必要最小限の再現手順
- リクエスト識別子、時刻、スクリーンショットまたは秘匿化済みログ
- 個人情報、決済状態、他アカウントまたはサービス可用性への影響可能性
- 実施済みの操作と試験を停止したかどうか
- 希望する連絡方法と、合意後の氏名掲載を希望するかどうか
パスワード、ワンタイムコード、完全な決済情報、無関係な個人情報、データベース全体、アクセストークン、秘密鍵または必要量を超える利用者データを送らないでください。機微な資料が必要と思われる場合は、先にセキュリティ窓口へ保護された送信方法を確認してください。
3. 対象システム
次のgathron管理下の公開A2Zシステムだけを対象候補とします。
https://a2z.gathron.comhttps://api.a2z.gathron.com- 上記オリジンから配信されるA2Zブラウザコード
- gathronが本ポリシーの対象としてアプリ名とバージョンを明示した後のA2Zネイティブクライアント
gathronが特定の例外を書面で事前承認しない限り、報告者本人が所有するアカウントとデータだけを使用してください。所有関係または対象範囲に疑問がある場合は、試験を止めて事前に確認してください。
4. 対象外のシステムと行為
次は対象外であり、本ポリシーによって許可されません。
- Stripe、Resend、GMOインターネット、お名前.com、ドメイン事業者、通信網、アプリストア、OS、ブラウザその他の第三者システム
- 報告者が所有しない端末、アカウント、メールアドレス、決済手段またはデータ
- 物理的侵入、ソーシャルエンジニアリング、フィッシング、なりすまし、贈賄、脅迫、恐喝または嫌がらせ
- DoS、DDoS、トラフィック集中、資源枯渇、破壊的負荷試験その他のサービス妨害または意図的な性能低下
- パスワードスプレー、クレデンシャルスタッフィング、総当たり、アカウント大量作成、大量スキャンまたは回数制限の回避
- マルウェア、永続化、バックドア、横展開、C2、破壊的処理、データの変更または削除
- 他者データへのアクセス、複製、ダウンロード、保持、変更または開示
- 本人アカウントでの必要最小限の確認を超えた、購入、返金、権利、報酬、順位、戦闘状態、アカウント状態その他のサーバー正規記録の変更
- 協調開示前の脆弱性の公開、販売、譲渡または利用
- gathronから停止を求められた後の試験
第三者サービスの問題は、その事業者のポリシーに従って報告してください。A2Zへ直接影響する場合はA2Zにも連絡できますが、本ポリシーは第三者サービスの試験を許可できません。
5. 善意のセキュリティ調査の条件
本ポリシー上の善意の調査として扱われるためには、報告者は次を守る必要があります。
- セキュリティ上の弱点を発見、報告、是正支援する目的だけで行動する。
- 本ポリシーと適用法令に従う。
- 利用者、プライバシー、データ、資金、ゲーム進行、設備および可用性への損害を避ける。
- 最も侵襲性の低い方法を使い、必要最小限の証明を得た時点で停止する。
- 個人情報、他アカウント、決済情報、秘密情報または予期しないアクセスが見えた時点で直ちに停止する。
- 不要な情報を保持せず、gathronが不要と確認した後は偶発的な複製を安全に削除する。
- 速やかに報告し、修正と協調開示の間は非公開にする。
- 真実の情報を提供し、合理的な範囲で検証に協力する。
- 非公開、悪用停止または損害回避と引き換えに金銭その他の利益を要求しない。
脆弱性を発見しても、影響範囲を測るために他の利用者情報を閲覧したり、取得可能な件数まで調べたりする権限は生じません。実データを取得せず、アクセス可能性だけを示す秘匿化済み証拠を優先してください。
6. セーフハーバー
報告者が本ポリシーを遵守する善意の努力を行い、明示したA2Zの対象範囲だけで必要最小限の確認を行い、速やかに報告した場合、gathronはその調査をgathronが許可した行為として扱い、その遵守した調査だけを理由に法的措置を開始しない方針です。第三者が措置を開始し、報告者が本ポリシーを遵守していた場合、gathronは本ポリシーに基づく行為であった旨を説明することがあります。
このセーフハーバーは、捜査機関、規制当局、検察、裁判所、利用者、インフラ事業者その他の第三者を拘束せず、影響を受けた者の権利を放棄せず、適用法令に反する行為を許可しません。停止しなかった後の行為、故意の損害、プライバシー侵害、恐喝および対象外行為も保護しません。
このセーフハーバーは、gathron自身の権利行使方針だけを示すものであり、民事、刑事、行政、契約上または第三者による措置からの免責を与えるものではありません。予定する試験が許可されるか不明な場合、報告者は試験前に書面による許可を求めてください。応答がないことは許可を意味しません。常に適用法令が優先します。
7. 報告後の対応
報告内容、連絡可能性、運営負荷、インシデント状況および法的制限に応じ、gathronは次を目標とします。
- 3営業日以内に受領を連絡する。
- 10営業日以内に初期判断または追加情報の依頼を行う。
- 重要な進捗を合理的な範囲で報告者へ連絡する。
- 報告と連絡先を知る必要がある担当者だけで扱う。
- 報告を受け付けるだけの目的で秘密保持契約への署名を要求しない。
- 報告者の氏名掲載は、双方が明示的に合意し、安全かつ適法な場合だけ行う。
これらは対応目標であり、保証ではありません。A2Zは、現に悪用されている問題、利用者被害、決済リスク、認証回避、リモートコード実行または大規模な情報露出を、影響の低い報告より優先できます。
8. 協調開示
gathronが修正を確認し、開示内容と時期について合意するまで、または本項に従い別の時期を検討するまで、脆弱性や攻撃手順を公開・共有しないでください。外部事業者、影響を受ける利用者、規制当局または捜査機関との調整が必要になる場合があります。
開示時期、延長、現に悪用されている場合の例外：受領確認から90日を標準とし、修正、第三者調整、法的義務または現に悪用されている状況により異なる日程が必要な場合は協議して延長または短縮します。
gathronは、利用者の安全、悪用可能性、修正状況、法的義務および第三者調整を考慮し、セキュリティ告知、報告者の氏名掲載または非公開の継続を判断します。報告者は、影響を受けた利用者を特定せず、個人情報、認証情報、決済情報、秘密情報または実用的な攻撃コードを公開してはいけません。
9. 重複、情報提供および対象外報告
A2Zは、重複、再現不能、仕様どおり、影響の低い情報、対象外または既知の問題として報告を終了する場合があります。これは報酬または氏名掲載の対象となることを意味しません。A2Zへの具体的影響を示さない自動スキャン結果には、個別回答を行わない場合があります。
10. 個人情報と記録
gathronは、セキュリティ、監査、法的対応および悪用防止のため、報告、連絡先、技術証拠、連絡履歴、検証記録、修正状態および開示判断を保持する場合があります。緊急被害の報告に厳密に必要な場合を除き、他者の個人情報を送らないでください。適用される権利と窓口は、A2Zプライバシーポリシーで説明します。