責任ある開示ポリシー

1. はじめに

当社は、Unopostにセキュリティ上の脆弱性を発見したと考えるすべての方からの報告を歓迎します。本責任ある開示ポリシーは、脆弱性の報告方法、調査の際に従っていただくようお願いする規則、およびこれに対して当社が行うことを説明するものです。本ポリシーは、Unopostを運営する、Mumu, Lulu & Co.（ABN 54 837 123 965）の受託者であるAWS, CYY & Co. Pty Ltd（ACN 686 116 245）が公表するものです。

当社は、有償のバグバウンティ制度を運営しておらず、報告に対して報酬を支払いません。お客様の許可がある場合、問題の修正後、本ページにお名前を掲載して謝意を表します。

2. 対象範囲

本ポリシーの対象は、次のとおりです。

https://unopost.com.au の当社ウェブサイト（すべての言語版を含みます）
ビジネスポータル
https://unopost.com.au/api/v1 のBusiness API、および https://unopost.com.au/x402 のx402 API
手紙およびビジネスアカウントに関して当社が送信するメール

本ポリシーは、Square、Australia Post、Amazon Web Servicesなど、当社が利用する他者が運営するサービスを対象としません。これらのサービスにおける問題は、当該事業者に報告してください。

3. 報告方法

件名に「Security」と記載して support@unopost.com.au までメールでご連絡ください。報告には、次の事項を含めてください。

問題の内容、およびそれがもたらすと考えられる影響
影響を受けるURL、エンドポイントまたは機能
問題を再現するための具体的な手順（概念実証コード、スクリーンショットまたはリクエストがあれば、これを含みます）
当社からの連絡方法、およびお名前の掲載による謝意を希望されるかどうか

公開状態になっている鍵、パスワードその他の秘密情報を発見した場合は、直ちに当社に知らせ、これを使用しないでください。可能であれば、英語でご記入ください。

4. お願いする事項

脆弱性を調査し、報告するにあたり、お客様は次の事項を遵守しなければなりません。

お客様ご自身のアカウント、文書および手紙、または所有者から使用の許可を得たもののみを対象としてテストすること
お客様のものではない個人情報、文書またはデータに到達した時点で直ちに中止し、アクセスした内容を当社に知らせること。これを複製、保持、変更もしくは削除し、または他者と共有しないこと
サービス妨害攻撃、負荷テストまたは大量の自動スキャンによるものを含め、本サービスの性能を低下させ、または本サービスを中断させないこと
いかなる者に対しても、その者の同意なく手紙を郵送せず、また、当社の顧客、その受取人または当社スタッフにメッセージを送信しないこと
当社のスタッフ、施設またはサービス提供者に対し、ソーシャルエンジニアリング、フィッシングまたは物理的攻撃を行わないこと
他人の支払カード、ビジネスクレジットまたは認証情報を使用しないこと
脆弱性が存在することを示すために必要な範囲の行為のみを行うこと
当社がお客様と別途合意しない限り、当社が問題を修正する時点またはお客様の報告から90日を経過する時点のいずれか早い時点まで、詳細を秘密に保つこと
法令を遵守すること

5. 当社が行うこと

お客様が本ポリシーに従って脆弱性を報告した場合、当社は次のことを行います。

2営業日以内に報告の受領を確認すること
問題を再現できるかどうかをお知らせし、対応の進捗を随時お知らせすること
確認された脆弱性を90日以内に修正するよう努め、個人情報を危険にさらすものについてはより早期に修正すること
問題が修正された時点でお知らせし、ご希望の場合はお名前を掲載して謝意を表すこと

問題が個人情報に関わるものであった場合、当社は、当社のプライバシーポリシー (https://unopost.com.au/privacy) 第11条に記載のとおり、これを評価し、影響を受ける個人およびOffice of the Australian Information Commissionerに通知します。

6. セーフハーバー

お客様が善意で、かつ本ポリシーに従って行動する場合、当社は、お客様の調査を許可されたものとして扱い、これに関連してお客様に対して法的措置をとらず、また、お客様を法執行機関に通報しません。本ポリシーに従った調査について第三者がお客様に対して法的措置をとった場合、当社は、お客様の調査が当社の許可を得たものであったことを明らかにします。

前項は、お客様が本ポリシーに違反した場合、必要以上の範囲にアクセスした場合、または問題を開示しないことと引き換えに支払いを求めた場合には適用されません。予定している行為が許されるかどうか不明な場合は、事前に support@unopost.com.au までお問い合わせください。

7. 脆弱性として扱わないもの

次のものは、本サービスまたは当社の利用者のセキュリティに対する現実の影響を示すことができない限り、原則として本ポリシーの対象外です。

実際に動作する概念実証を伴わない、自動スキャナーによる報告
セキュリティヘッダー、Cookieの属性またはメール認証レコード（SPF, DKIM, DMARC）が欠けていることのみを内容とするもの
有害となり得る操作のないページにおけるクリックジャッキング
Self-XSS、または利用者のロック解除された端末への物理的アクセスを必要とする問題
ソフトウェアのバージョン情報の開示、またはセキュリティ上の影響のない操作についてのレート制限の欠如
サービス妨害、および第2条に記載の第三者のサービスにおける脆弱性

8. 本ポリシーの変更

当社は、本ページに新しい版を掲載することにより、いつでも本ポリシーを変更することができます。お客様が報告を行った時点で掲載されている版が、当該報告に適用されます。