最終更新日：2025年7月30日

脆弱性開示ポリシー

CERNで出会った科学者によって設立された企業として、私たちはピアレビュー（査読）の重要性を信じています。そのため、私たちは独立したセキュリティコミュニティをサポートし、システムのセキュリティ維持と、機密情報の不正な開示からの保護に役立てています。 Proton製品で特定された潜在的な脆弱性を報告するために、セキュリティ研究者の皆様からのご連絡を歓迎します。

本ポリシーでは以下について規定します：

対象となるシステムおよびアプリ
対象となるセキュリティ調査手法の種類
潜在的なセキュリティ脆弱性の報告方法
脆弱性開示に関する当社の考え方、および脆弱性を公表するまでの待機期間

Protonは、脆弱性開示ポリシーに準拠したレポートの受領を5営業日以内に通知します。受領後、報告内容の検証、是正措置の実施（適切な場合）、および報告された脆弱性の処理状況について、最小限の遅延で研究者に通知するよう努めます。

セキュリティ調査において本ポリシーを遵守するために誠実な努力をされた場合、当社はその調査をProtonの法的セーフハーバーポリシーに基づき承認されたものとみなします。当社は、問題を迅速に理解し解決するために協力し、調査に関連する行為について法的措置を推奨または追求することはありません。

テスト方法

セキュリティ研究者は、以下を行ってはなりません：

以下の「範囲」セクションに記載されているシステム以外のシステムをテストすること
以下の「脆弱性の報告」および「開示」セクションに記載されている場合を除き、脆弱性情報を開示すること
施設やリソースに対する物理的なテストを行うこと
ソーシャルエンジニアリングを行うこと
「フィッシング」メッセージを含む、未承諾の電子メールをProtonユーザーに送信すること
「サービス拒否（DoS）」攻撃や「リソース枯渇」攻撃を実行、または実行しようとすること
Protonまたはサードパーティのシステムに悪意のあるソフトウェアを導入すること
Protonシステムの運用を低下させる可能性のあるテスト、または意図的にSECシステムを損なう、中断させる、もしくは無効化するテストを実行すること
Protonシステムと統合されている、またはProtonシステムへのリンクやProtonシステムからのリンクがあるサードパーティのアプリ、ウェブサイト、またはサービスをテストすること
Protonのデータを削除、変更、共有、保持、破壊すること、またはProtonのデータにアクセスできない状態にすること
エクスプロイトを使用してデータを持ち出す、コマンドラインアクセスを確立する、Protonシステム上に永続的なプレゼンスを確立する、または他のProtonシステムへ「ピボット（踏み台攻撃）」すること

セキュリティ研究者は、以下を行うことができます：

潜在的な脆弱性の存在を文書化するために必要な範囲内でのみ、Protonの非公開データを閲覧または保管すること

セキュリティ研究者は、以下を行わなければなりません：

脆弱性を発見した場合は、直ちにテストを中止し、当社に通知すること
非公開データの漏洩を発見した場合は、直ちにテストを中止し、当社に通知すること
脆弱性を報告する際に、保管済みの非公開データをすべて消去すること

範囲

以下のシステムおよびサービスが対象範囲です：

Proton

当社のウェブサイト、proton.me
account.proton.meウェブアプリ

Proton Calendar

calendar.proton.meウェブアプリ
Proton Calendarアプリ（AndroidおよびiOS/iPad）

Proton Drive

drive.proton.meウェブアプリ
Proton Driveアプリ（Android、iOS/iPad [ベータ]、およびWindows）

Proton Docs

docs.proton.meウェブアプリ

Proton Mail

mail.proton.meウェブアプリ
api.protonmail.chウェブアプリ
Proton Mailモバイルアプリ（AndroidおよびiOS/iPad）
Proton Bridgeアプリ（GNU/Linux、macOS、およびWindows）
Proton Scribe

Proton Pass

pass.proton.meウェブアプリ
Proton Passモバイルアプリ（Android、iOS/iPad）
Proton Passデスクトップアプリ（Linux、macOS、およびWindows）
Proton Passウェブ拡張機能（ChromeおよびFirefox）

Proton Authenticator

Proton Authenticatorモバイルアプリ（Android、iOS/iPad）
Proton Authenticatorデスクトップアプリ（Linux、macOS、およびWindows）

Proton VPN

当社のVPNウェブサイト、protonvpn.com
account.protonvpn.comウェブアプリ
api.protonvpn.chウェブアプリ
Proton VPNアプリ（Android、iOS/iPad、Linux、macOS、およびWindows）
Proton VPNウェブ拡張機能（Android TV、Apple TV、Chrome、Chromebook、およびFirefox）

Proton Wallet

wallet.proton.meウェブアプリ
Proton Walletアプリ（Android、iOS）

Lumo by Proton

lumo.proton.meウェブアプリ
Proton Lumoアプリ（Android、iOS）

SimpleLogin

simplelogin.ioウェブサイト
app.simplelogin.ioウェブアプリ
SimpleLoginモバイルアプリ（AndroidおよびiOS）
SimpleLoginブラウザ拡張機能（Chrome、Edge、Firefox、およびSafari）

Standard Notes

standardnotes.comウェブサイト
app.standardnotes.comウェブアプリ
Standard Notesアプリ（Android、iOS/iPad、Linux、macOS、およびWindows）

上記に明示されていないサービスは、本ポリシーの適用範囲外です。明確にするため、これには以下が含まれますが、これらに限定されません：

迷惑メール
ソーシャルエンジニアリング手法
サービス拒否（DoS）攻撃
コンテンツインジェクションは、Protonまたはそのユーザーに対する重大なリスクを明確に実証できない限り、対象外となります
サンドボックスドメインでのスクリプト実行
最新のOSバージョン、または過去2カレンダー年以内にリリースされたモバイルデバイスで再現できないモバイルアプリのクラッシュレポート
Protonのミッションの範囲外にあるセキュリティ問題
極めて可能性の低いユーザーインタラクションを必要とするバグ
WordPressのバグ（これらはWordPressに報告してください）
shop.proton.meのバグ（これらはShopifyに報告してください）
proton.me/support/contact、protonmail.zendesk.com、support.protonmail.com、およびhelp.protonmail.comのバグ（これらはZendeskに報告してください）
status.proton.meのバグ（これらはAtlassianに報告してください）
デバイスへの物理的なアクセスを必要とする概念実証（PoC）
期限切れのソフトウェア — さまざまな理由により、当社は常に最新のソフトウェアバージョンを実行しているわけではありませんが、完全にパッチが適用されたソフトウェアを実行しています
期限切れのブラウザに影響を与える欠陥
partners.proton.meのバグ（これらはTUNEに報告してください）
localize.proton.meのバグ（これらはDiscourseに報告してください）

脆弱性の報告

レポートは、電子メール（security@proton.me）にて受け付けています。受け付け可能なメッセージ形式は、プレーンテキスト、リッチテキスト、およびHTMLです。脆弱性を報告する際は、当社のPGP公開鍵を使用して提出物を暗号化することを推奨します。

脆弱性の悪用を実証する概念実証（PoC）コードを含むレポートを推奨します。
レポートには、脆弱性を特定または悪用するために必要なツールの説明を含め、脆弱性を再現するために必要な手順の詳細な技術的説明を提供してください。
画像（例：スクリーンキャプチャ）やその他の文書をレポートに添付することができます。添付ファイルには、わかりやすい名前を付けていただけると助かります。
スクリプトやエクスプロイトコードは、実行不可能なファイル形式に埋め込んでいただくようお願いします。
zip、7zip、gzipを含む、一般的なすべてのファイル形式およびアーカイブを処理できます。

研究者は、匿名でレポートを提出することも、Protonセキュリティチームからの連絡方法や連絡時期を含む連絡先情報を提供することも可能です。提出されたレポートの内容を明確にするため、またはその他の技術情報を収集するために、研究者に連絡する場合があります。

Protonにレポートを提出することで、お客様は、そのレポートおよび添付ファイルがサードパーティの知的財産権を侵害していないことを確約するものとします。また、お客様はProtonに対し、レポートおよび添付ファイルを使用、複製、派生物の作成、および公開するための、非独占的、ロイヤリティフリー、全世界的、かつ永続的なライセンスを付与するものとします。

開示

Protonは、脆弱性の迅速な修正に取り組んでいます。私たちは、コミュニティを危険にさらすあらゆる問題を解決するために、鋭意努力します。是正措置が直ちに利用できない状態で脆弱性を公表することは、コミュニティのセキュリティリスクを低減するよりもむしろ増大させる可能性が高いため、提出されたレポートを検証する間、研究者の皆様にはご猶予をいただくようお願いします。

したがって、レポートの受領確認を受け取ってから120カレンダー日間は、発見された脆弱性に関する情報の共有を控えていただくようお願いします。是正措置の実施前に他者に脆弱性を通知すべきであると判断される場合は、事前にProtonセキュリティチームと調整する必要があります。

当社は、影響を受けるベンダーと脆弱性レポートを共有する場合があります。明示的な許可がない限り、セキュリティ研究者の名前や連絡先データを共有することはありません。

ご質問

本ポリシーに関するご質問は、security@proton.meまで送信してください。 Protonは、本ポリシーのあらゆる点について、明確化のために当社へ連絡することをセキュリティ研究者に推奨しています。

テストを開始する前に、特定のテスト方法が本ポリシーと矛盾しているか、または本ポリシーで扱われていないか不明な場合は、お問い合わせください。また、本ポリシーを改善するための提案についても、セキュリティ研究者の皆様からのご連絡をお待ちしています。

本コンテンツの英語版と翻訳版との間に不一致がある場合は、英語版が優先されます。