セキュリティの問題を見つけましたか？お知らせください。その後の流れを説明します。

このポリシーの対象

このポリシーは、SecureEyesが作るソフトウェアと、SecureEyesが運用するサービスを対象とします。適用されるのは、現在サポートされているバージョンです。つまり、App Storeで現在公開中のアプリ、アップデートフィードで配信中のHub、そして現在稼働しているサービスです。古いバージョンで問題を見つけた場合は、まず最新バージョンで確認してください。まだ残っていれば報告してください。

• App Storeで公開されている、iPhone、iPad、Mac用のSecureEyesアプリ。
• SecureEyes Hub：sehubデーモン、その特権ヘルパー、管理用ウェブページ、get.secureeyes.appのHubインストーラー。
• relay.secureeyes.appのリレーと、license.secureeyes.appのライセンスサーバー。
• このウェブサイト（secureeyes.app）と、updates.secureeyes.appのHubアップデートフィード。

報告の方法

報告の窓口はメールだけです。メールは受付の列ではなく、担当者に直接届きます。App Storeのレビュー、SNS、公開のissueで脆弱性を報告しないでください。そこでは、私たちより先に攻撃者が読んでしまいます。

1. 01security@secureeyes.appにメールしてください。普通のメールで構いません。暗号化したい場合は、最初のメッセージでそう伝えてください。キーの受け渡しを一緒に手配します。PGPキーはまだ公開していません。暗号化が必須になることはありません。
2. 02どの製品のどのバージョンかを書いてください。アプリのバージョンとビルド（「設定」の「情報」）、Hubのバージョン（管理ページ、またはsystem/health）、あるいはサービス名と問題を確認した日時です。
3. 03私たちが再現できるよう、行った操作と確認した結果を手順ごとに説明してください。概念実証、リクエストとレスポンス、スクリーンショットがあると助かります。送信前に、カメラのパスワードや映像は伏せてください。
4. 04攻撃者がそれを使って何ができると考えるか、そしてすでに悪用されている兆候があるかどうかを書いてください。その一行で、私たちの対応の速さが変わります。
5. 05連絡先と、修正の公開時に名前をクレジットしてほしいかどうかをお知らせください。

バグバウンティはありません。報告に報酬は支払いません。期待を持たせるより、はっきりそうお伝えします。見つけていただいた問題は修正し、修正したらお知らせし、ご希望があればクレジットします。

私たちの対応

1. 01メールから3営業日以内に、担当者から受領の連絡をします。問い合わせのときに伝えられる参照番号も添えます。
2. 0210営業日以内に最初の評価をお伝えします。再現できたかどうか、深刻度をどう見ているか、どう対応する予定かです。
3. 03修正の進み具合に応じて状況をお知らせし、リリースされたら連絡します。予定より時間がかかる場合は、期日を過ぎてからではなく、過ぎる前にお伝えします。
4. 04公開はあなたと調整して行います。標準の期間は報告から90日です。修正がリリースされ、ユーザーがアップデートする時間があった場合は、それより早く公開します。修正にApp StoreやHubフィードでのリリースサイクルが必要な場合は、延長をお願いすることがあります。理由を伝えずに90日を超えることはありません。
5. 05ご希望があれば、修正について公開する告知にクレジットを掲載します。名前を出したくない場合は、名前を出しません。

このアドレスへの報告は、SecureEyesが読み、対応します。修正のために、報告の技術的な内容を、関係するコードやサービスの当事者（たとえばカメラメーカー）と共有することがあります。あなたの身元を、あなたに確認せずに共有することはありません。

善意の調査に対するセーフハーバー

私たちは、調べてくれる人からの報告を歓迎します。あなたが善意でSecureEyesを調査し、次のセクションのルールに従い、見つけたことを私たちに報告した場合、私たちはその調査についてあなたに法的措置をとらず、捜査機関に通報することもありません。カメラメーカーやホスティング事業者などの第三者が、これらのルールに従った調査についてあなたに法的措置を起こした場合、私たちはその調査がこのポリシーのもとで認められたものであることを公に表明します。

善意とは、危害を避けるよう努めたこと、問題を示すのに必要な範囲を超えて取得しなかったこと、合意した公開まで見つけたことを秘密にしたこと、そしてそれをほかの目的に使わなかったことを意味します。このポリシーは、法律に違反することを認めるものではありません。また、私たちのものではないシステムへのアクセスを、私たちが認めることはできません。

ルール

これらのルールに従った調査は、上記のセーフハーバーの対象となります。従わない調査は対象外です。

• テストは、あなたが所有しているか、使用の明示的な許可を得ているデバイス、カメラ、Hub、アカウント、および公開ウェブサイトに対してだけ行ってください。リレーやライセンスサーバーのテストには、ご自身のHubとご自身のライセンスを使ってください。
• 他人のカメラ、映像、スナップショット、イベント、認証情報に、決してアクセスしたり、見たり、記録したり、保存したりしないでください。欠陥によってそれが可能になる場合は、可能であることを証明した段階で止め、報告してください。他人のカメラでそれを実演しないでください。
• サービス妨害は禁止です。リレー、ライセンスサーバー、アップデートフィード、ウェブサイトに大量の通信を送らないでください。どれだけの負荷に耐えるかを試すことも禁止です。
• SecureEyes、そのホスティング事業者、ほかのユーザーに対するソーシャルエンジニアリングは禁止です。フィッシング、なりすましの電話、物理的な侵入の試みも禁止です。
• 映像を含め、自分のものではない個人データに到達したら、その時点で止め、コピーを残さず、報告してください。報告には、何を見たか、そしてそれを削除したことを書いてください。
• 自分が所有していないシステム上で、何かを変更、削除したり、仕込んだりしないでください。概念実証は読み取るだけで、書き込みは行いません。
• 合意した公開日までは、見つけたことをあなたと私たちの間だけにとどめてください。販売したり、早期に公開したり、第三者に渡したりしないでください。それを使って何かを要求することも禁止です。

対象外

次のものは私たちには修正できません。それらについての報告は、修正できる当事者が受け取るべきものです。それが誰か分かる場合は、お伝えします。

• カメラのファームウェアと、カメラメーカー自身のアプリやクラウド。SecureEyesはONVIF、RTSP、メーカーのHTTPインターフェイスでカメラと通信します。カメラ自体のソフトウェアの欠陥は、メーカーが修正するものです。メーカーに報告してください。多くのメーカーが独自のセキュリティページを用意しています。
• App Store、StoreKit、iCloud、iCloudキーチェーン、その他のAppleのシステム。これらはAppleに報告してください。
• Amazon Web Services、および私たちのサーバーを支えるその他のホスティング事業者やネットワーク事業者。これらはその事業者に報告してください。
• 悪用の方法を示さず、スキャナーの出力、静的ページでのセキュリティヘッダーの欠如、ソフトウェアのバージョン番号を挙げるだけの報告。
• 所有者による設定ミスがあるカメラやネットワーク。たとえば初期パスワードのままのカメラです。SecureEyesは警告できますが、変更することはできません。

対象かどうか分からない場合も、とにかく送ってください。私たちの問題を見逃すより、ほかの誰かの問題だったと分かる報告を読むほうがよいと考えています。

EUサイバーレジリエンス法

SecureEyes（アプリとHub）は、欧州連合で販売されるデジタル要素を含む製品であり、サイバーレジリエンス法（規則（EU）2024/2847）が適用されます。これは同法のもとで私たちが行うことの説明であり、法的助言ではありません。

SecureEyesで積極的に悪用されている脆弱性、またはSecureEyesのセキュリティに影響する重大インシデントを認識した場合、私たちはENISAの単一報告プラットフォームを通じて、同法が定める当局に、同法のスケジュールに沿って報告します。認識から24時間以内に早期警告、72時間以内にその時点で判明している脆弱性の情報と講じた措置を含む通知、そして修正または緩和策が利用可能になってから14日以内に最終報告（重大インシデントの場合は通知から1か月以内）です。

影響を受けるユーザーには、不当な遅滞なくお知らせします。このウェブサイト、App Storeのアプリのリリースノート、ダウンロードページのHubのリリースノートで、問題の内容、影響を受けるバージョン、とるべき対応をお伝えします。SecureEyesはユーザーアカウントもメールリストも持っていないため、あなたに直接メッセージを送ることはできません。お知らせはこのページとリリースノートで行います。

サポート期間

SecureEyesアプリとSecureEyes Hubのセキュリティ修正は、各リリースの日から5年間提供されます。修正は新しいバージョンとして配信されます。アプリはApp Storeでのアップデート、Hubは署名付きフィードでのアップデートで、公開されるとHubとアプリが案内します。サポート期間中にセキュリティ修正を受け取るには、アプリとHubを最新の状態に保ってください。最新より古いバージョンに、その場で修正が当てられることはありません。

リレー、ライセンスサーバー、このウェブサイトは、配布するソフトウェアではなくサービスであり、稼働している限り保守されます。

このポリシーの変更

このポリシーは2026年10月22日付です。私たちの約束、アドレス、または対象範囲が変わる場合は、新しい日付とともにここに掲載します。secureeyes.app/.well-known/security.txtにある機械可読の連絡先ファイルは、このページをポリシーとして示し、独自の有効期限を持っています。この期限は毎年更新します。

お問い合わせ

セキュリティの報告はsecurity@secureeyes.appへお送りください。SecureEyesに関するそのほかのことはsupport@secureeyes.appへお送りください。