セキュリティ脆弱性開示ポリシー
最終更新日：2026年9月24日 · バージョン 1.0.0
本ポリシーは、SwiftQuantum のサービスに関するセキュリティ脆弱性の報告方法、 調査にあたって守っていただきたい事項、および当方の対応について定めるもの です。SwiftQuantum は米国デラウェア州の LLC である SwiftQuantum Technologies, LLC が運営しており、報告は創業者本人が確認・対応します。以下の対応期間はこの体制を 前提としています。
連絡先の機械可読版は /.well-known/security.txt （RFC 9116）で公開しています。
1. 報告方法
security@swiftquantum.tech 宛てにメールでご報告ください。次の情報を 含めてください。
- 対象の製品、URL、API エンドポイント、またはアプリとそのバージョン
- 問題の内容と想定される影響
- 再現手順と、可能であれば概念実証（スクリーンショット、HTTP リクエスト、 短いスクリプトなど）
- データへのアクセス・変更・保持の有無と、その内容
- 謝辞への記載を希望されるか、希望される場合の表記
報告は英語または韓国語でお願いします。機微な資料を送る必要がある場合は、 まずその旨のみお知らせください。受け渡し方法をご相談します。現在、PGP 公開鍵は公開していません。
アプリのレビュー、SNS、公開の GitHub Issue、一般サポート窓口での脆弱性 報告はご遠慮ください。
2. 対象範囲
対象
swiftquantum.techおよびそのサブドメイン（*.swiftquantum.tech）上の Web アプリケーションとウェブサイト（本サイトを含む）*.swiftquantum.techで提供する API（認証サービスおよび SwiftQuantum Legal API を含む）- SwiftQuantum が Apple App Store で公開している iOS・iPadOS・macOS・visionOS アプリ：SwiftQuantum、QuantumNative、Q-Bridge、QuantumCareer、Q-Alpha、 Q-Shield、Q-Logos、Q-Bio Genesis
- SwiftQuantum 組織名義で公開しているオープンソースパッケージ（当該 パッケージの利用者に影響する問題に限る）
対象外
- 当方が利用する第三者サービス自体の問題（Amazon Web Services、Stripe、 Apple、OpenAI、Anthropic、IBM Quantum、メールサービス事業者など）。 各事業者に直接ご報告ください。ただし、当方の設定や連携に起因する問題は 対象です。
- ルート化・脱獄した端末、被害者のロック解除済み端末への物理的アクセス、 既に侵害された被害者のブラウザを前提とする問題
- 具体的な悪用方法が示されていないセキュリティヘッダー、Cookie 属性、 TLS 設定の不備
- 状態変更操作のないページのクリックジャッキング、ログアウト CSRF、 self-XSS
- 影響が検証されていない自動スキャナーの結果
- アカウント乗っ取りやデータ漏えいに至る現実的な経路が示されていない レート制限・総当たり攻撃に関する指摘
- なりすまし送信の影響が示されていないメール設定（SPF、DKIM、DMARC ポリシー）に関する指摘
- ベンダーのサポートが終了したブラウザや OS でのみ発生する問題
対象かどうか判断に迷う場合は、その旨を記載のうえご報告ください。
3. 禁止事項
- サービス妨害の禁止。 負荷試験や大量リクエストなど、他の利用者の 利用を妨げる行為をしないでください。ストレージやキューを埋める行為も 同様です。
- 証明に必要な範囲を超えるデータアクセスの禁止。 個人データに到達 した場合は直ちに中止し、複製・保持せず、確認した内容を報告に記載して ください。ご自身で作成したアカウント、または所有者が参加に同意した アカウントのみを使用してください。
- ソーシャルエンジニアリングの禁止。 利用者、創業者、取引先を対象と したソーシャルエンジニアリングやフィッシングを行わないでください。
- 物理的攻撃の禁止。 事務所、住居、機器に対する物理的な試みを行わ ないでください。
- ご自身のものではないデータを変更・削除しないでください。問題の確認後 に、バックドア、持続的セッション、Web シェルなどの侵入手段を残さない でください。
- ご自身のものではない認証情報で量子ハードウェアのジョブや AI リクエスト を送信するなど、他人の有料リソースを使用しないでください。
- 当方が修正するまで、または第5条に基づき合意した公開日まで、脆弱性を 公開したり第三者に知らせたりしないでください。
4. セーフハーバー
本ポリシーに従うよう誠実に努めた調査は、当方が許可したものとみなします。 具体的には、当方は
- 本ポリシーに従った調査について、不正アクセスに関する法律（大韓民国の 情報通信網法、米国 Computer Fraud and Abuse Act など）や技術的保護手段 の回避に関する法律に基づく法的措置をとらず、捜査機関への告訴・告発も 行いません。
- 当該調査が利用規約と抵触する範囲で、これを規約違反として扱いません。
- 本ポリシーに従った調査を理由に第三者があなたに請求を行った場合、その 活動が当方の許可を得たものであったことを明らかにします。
このセーフハーバーは、本ポリシーの対象となるシステムと行為にのみ適用 されます。第三者を拘束するものではなく、当方が所有しないシステムのテスト を許可することはできません。予定している行為が本ポリシーに沿うか不明な 場合は、事前に security@swiftquantum.tech までお問い合わせください。
5. 当方の対応
SwiftQuantum は1名で運営しています。以下は当方が守るよう努める目標であり、 保証ではありません。
| 段階 | 目標 |
|---|---|
| 受領確認 | 5営業日以内（韓国時間） |
| 初期評価と深刻度の判断 | 15営業日以内 |
| 対応状況のご連絡 | 少なくとも 30日ごと |
| 確認済みの重大・高深刻度の問題の修正 | 可能な限り速やかに。見込み日をお知らせします |
進捗をお知らせし、修正完了時にご連絡し、謝辞にお名前を記載する前に同意を 得ます。公開前に、報告日から最大 90日 の修正期間をいただくようお願い します。それ以上必要な場合は理由を説明し、公開日を相談して決めます。
報告内容から個人データが漏えいした可能性がある場合は、上記とは別に、 プライバシーポリシーおよび適用法令上の漏えい通知手続に従って対応します。
6. 報奨金なし
当方はバグバウンティプログラムを運営しておらず、脆弱性報告に対する金銭的 な報酬は支払いません。ご希望があれば、修正後に公開の謝辞でお名前を記載 します。詳細開示の条件として支払いを求めることは、本ポリシー上の誠実な 報告とはみなしません。
7. 関連文書
8. 本ポリシーの変更
本ポリシーは変更されることがあります。変更の都度、上記のバージョンと最終 更新日を改め、報告を提出した日に有効であった版がその報告に引き続き適用 されます。
本ポリシーは複数の言語で公開しています。言語間で内容に相違がある場合は、 英語版が優先します。