セキュリティと脆弱性報告

方針

当社は、善意のセキュリティ研究者からの脆弱性報告を歓迎します。HearRelay とその関連サービスを安全に保つため、責任ある開示にご協力ください。本ポリシーは、報告にあたって守っていただきたい範囲と、当社の対応方針を定めるものです。

報告方法

脆弱性を発見した場合は、本ページ末尾の専用窓口へメールでご連絡ください。サイト全体の窓口情報は /.well-known/security.txt（RFC 9116）でも公開しています。報告には、可能な範囲で以下を含めてください。

• 影響を受ける機能・バージョン・OS
• 再現手順（PoC があれば添付）
• 想定される影響
• 連絡先

対象範囲（In Scope）

• iOS / iPadOS アプリ「HearRelay」本体
• HearRelay に関連する conex-cp.com 上のページ

対象外（Out of Scope）

以下は本ポリシーの対象外です。

• ソーシャルエンジニアリング、物理的侵入、当社の従業員・取引先への攻撃
• サービス妨害（DoS / DDoS）、スパム、ボリューム型攻撃
• Apple のインフラ（App Store / iCloud / iOS 自体）や第三者サービスの脆弱性
• 利用者自身の端末への物理アクセスを前提とし、現実的な脅威がない問題

セーフハーバー

本ポリシーの範囲内で、善意かつ誠実に行われた調査について、当社はこれを歓迎し、当該調査を理由として法的措置を講じることはありません。調査にあたっては、プライバシーの侵害、データの破壊・改ざん、サービスの中断を避け、第三者のデータにアクセスしないでください。発見した脆弱性は、当社が対応する合理的な機会を得るまで、第三者に開示しないでください（協調的開示）。

当社の対応

• 受領後、合理的な期間内に受領確認をお送りします。
• 内容を検証し、影響度に応じて修正の優先度を判断します。
• 修正の状況について、可能な範囲で報告者に共有します。
• 現時点で金銭的報奨（バグバウンティ）の制度は設けていませんが、ご協力に深く感謝します。

補足

HearRelay は、音声をサーバーへ送信せず、ペア間通信をエンドツーエンドで暗号化し、接続を同一ローカルネットワークに限定する設計です（設計上の意図は、プライバシーポリシーおよび製品ページをご参照ください）。設計に関するご指摘も歓迎します。