脆弱性開示ポリシー
最終更新：2026 年 7 月 30 日
参考訳。この日本語訳は参照の便宜のために提供するものです。本ポリシーの正文は
繁体字中国語版であり、両者に相違がある場合は中国語版が優先します。
Odysec は善意のセキュリティリサーチを歓迎します。当方のシステムまたは公開ツールにセキュリティ上の問題を発見された場合は、本ポリシーに従ってご報告ください。すべての報告を真摯に受け止め、協調的開示（coordinated disclosure）の原則に基づいて対応します。
1. 適用範囲
odysec.org および check.odysec.org（API エンドポイントを含む）。- 当方が公開する収集プログラム（
odysec-check.py）およびその他の公開ツール。
範囲外：当方のお客様のシステムおよび資産（当方にはその検査を許可する権限がありません）、第三者のサービス（Cloudflare、決済事業者など）。
2. 報告の方法
security@odysec.org 宛に、可能な範囲で以下を含めてご連絡ください：
- 問題の種類と所在（URL、エンドポイント、またはツールのバージョン）。
- 再現手順または概念実証（PoC）。
- 影響範囲についての評価。
現在、バグバウンティ制度は設けていません。ご同意いただける場合、修正後にお名前を記載して謝辞を掲載いたします。
3. 当方の対応
- 通常 7 営業日以内に受領を確認し、初期評価をお知らせします。
- 修正が完了するまで、問題の詳細を公開しないでください。開示の時期は報告者と調整します。
- 報告内容は当該問題の評価と修正のためにのみ使用し、プライバシーポリシーに従って取り扱います。
4. 善意のリサーチの境界
以下の境界内で善意により行動するリサーチャーに対し、当方は法的措置を取りません：
- 第 1 節に定める範囲のみを対象とした非破壊的な検査。
- 自身のものではないデータへのアクセス・改変・削除を行わないこと。問題の実証に必要な最小限のアクセスに留め、取得したデータは報告後に削除すること。
- サービス妨害（DoS）、総当たり攻撃、スパム、ソーシャルエンジニアリング、物理的侵入を行わないこと。
- 発見後合理的な期間内に報告し、第三者に開示しないこと。
ご注意。上記の境界を超える行為（例：他者のホストやドメインに対する無許可の検査）は、台湾刑法第 358 条の無断コンピュータ侵入罪その他の法的責任を構成するおそれがあり、本ポリシーの保護の対象外です。
5. 当方自身のリサーチ行動
セキュリティサービスの提供者として、当方の対外的な検査も同じ基準に従います：
- すべての検査は授権の取得を前提とします——攻撃対象領域監視はドメイン所有権の検証（DNS TXT）を先に完了し、ホスト診断の収集プログラムはお客様自身が実行します。
- リサーチまたはサービス提供の過程で第三者のシステムにセキュリティ上の問題を発見した場合は、協調的開示の原則に基づき当該システムの運営者に通知し、未修正の詳細を公開しません。
6. 連絡先
セキュリティ報告：security@odysec.org。本ポリシーの機械可読版は /.well-known/security.txt にあり、下記の鍵で署名されています。
7. OpenPGP 鍵
報告内容を暗号化する場合、または security.txt の署名を検証する場合は、下記の鍵をご利用ください：
| フィンガープリント | 1795 7894 C857 54E0 C79D B366 BDBA 5F86 E344 9C97 |
|---|
| 識別情報 | Odysec <security@odysec.org> |
|---|
| 公開鍵 | /pgp-key.txt |
|---|
本鍵は Web Key Directory にも公開しています：
gpg --locate-external-keys security@odysec.org
curl -s https://odysec.org/.well-known/security.txt | gpg --verify
本ページに記載のフィンガープリントと一字ずつ照合してください。本ページと鍵ファイルは同一のホストから提供されています。当該ホスト自体にご懸念がある場合は、別の経路でフィンガープリントをご確認ください。