脆弱性の報告

協調的な脆弱性開示ポリシー。最終更新：2026年10月8日。

このページは参考訳です。正本はドイツ語版と英語版です。

1. 目的

Frederich Engineering では、セキュリティをスピードや機能よりも優先しています。当社の製品やサービスにセキュリティ上の脆弱性を見つけた場合は、迅速に修正できるよう、ぜひお知らせください。本ポリシーでは、報告の方法、当社がお約束すること、テストの際に守っていただくルールを説明します。

2. 対象範囲

• Klarfeed Cloud（klarfeed.app）および Klarfeed ウェブサイト（klarfeed.com）
• パスワード生成ツール Klarpass（klarpass.app）
• Frederich Engineering が販売または公開しているソフトウェア（例：セルフホスト版 Klarfeed）の最新バージョン
• 当社の企業ウェブサイト frederich-engineering.com

対象外：当社が利用している第三者のサービス（例：Stripe、Hetzner、当社のメールプロバイダー）——各社に直接ご報告ください——および Klarfeed 上に表示される第三者のフィードやウェブサイト。

3. 報告の方法

security@frederich-engineering.com 宛てにメールでお送りください。できれば次の情報を含めてください：

• 影響を受ける製品またはサービスと、そのバージョンまたは URL
• 脆弱性とその影響の説明
• 再現手順（概念実証）
• クレジットを希望される場合は、お名前またはハンドル名

ドイツ語または英語でお書きください。機密性の高い詳細は、当社の PGP 鍵（RSA 4096、2027年6月30日まで有効）で暗号化してください。フィンガープリント：
2D28 1AA4 8156 6C99 B747 6DEB 7E91 8184 7FC9 FEFE

4. 当社がお約束すること

当社は小さな会社であり、守れることだけをお約束します：

• 受領の確認：3 営業日以内。
• 初期評価（確認済み / 再現不可 / セキュリティ問題ではない）：10 営業日以内。
• 修正の進捗を随時お知らせします。
• 修正：重大な脆弱性はできるだけ早く修正します。確認されたすべての脆弱性について、最長 90 日以内を目標とします。
• 公開：報告者と調整のうえ行います。別段の合意がない限り、修正後、遅くとも報告から 90 日後が原則です。ご希望があれば、発見者としてお名前を掲載します。
• 必要に応じて CVE 番号を申請します。
• 法令上の報告義務、特に EU サイバーレジリエンス法（Cyber Resilience Act）に基づく義務を履行します。

現在、報奨金はお支払いしていません（バグバウンティ制度はありません）。

5. テストのルールと当社のお約束

善意に基づき、以下のルールに従って行動される限り、当社はあなたに対して刑事告訴や民事上の法的措置を行いません。第三者（例：当局）の対応についてはお約束できませんが、ご要望があれば、あなたのテストが本ポリシーの範囲内であったことを確認いたします。

• テストはご自身のアカウントとデータのみで行ってください。Klarfeed Cloud については、テスト用アカウントをご依頼いただけます。
• 他のユーザーのデータにアクセスしないでください。万一触れてしまった場合は、直ちに中止し、保存や共有をせず、当社にご連絡ください。
• サービスに支障を与えるテスト（サービス拒否、負荷テスト、大量リクエスト、スパム）は行わないでください。
• ソーシャルエンジニアリング、フィッシング、物理的アクセスは行わないでください。当社の従業員、委託先、ホスティング事業者への攻撃も禁止です。
• 脆弱性の悪用は、その実証に必要な範囲にとどめてください。バックドアの設置や永続的な変更は行わないでください。
• 詳細の公開は、当社と調整したうえで行ってください（第 4 節）。

6. 通常、脆弱性として扱わないもの

• 実際の影響が示されていない自動スキャナーの報告
• 具体的な攻撃を伴わない、セキュリティヘッダーや Cookie 属性の欠如
• Self-XSS、セキュリティに関わる操作のないページでのクリックジャッキング
• SPF/DKIM/DMARC に関する指摘、バナーやバージョン情報の表示
• 単なる大量アクセスによるサービス拒否
• すでに侵害された端末や物理的アクセスを前提とする攻撃

迷った場合でも、ぜひご報告ください。