脆弱性開示プログラム
LiveAgentはサービスのセキュリティを維持することを目指しており、データセキュリティは最重要課題です。当社の脆弱性開示プログラムは、セキュリティ上の欠陥がツールまたはそのユーザーに与える影響を最小限にすることを目的としています。LiveAgentの脆弱性開示プログラムは、Quality Unitによって部分的または主に作成されたソフトウェアをカバーしています。
セキュリティ研究者であり、サービスのセキュリティ脆弱性を発見された場合、非公開でこちらに開示していただき、技術的な詳細を公開する前に修正する機会を与えていただくことを感謝いたします。
LiveAgentは、ここで説明されているとおり脆弱性が報告された場合、セキュリティ研究者と協力します。セキュリティとプライバシーへのコミットメントをサポートするために、脆弱性を検証、対応、および修正します。責任を持ってセキュリティ脆弱性を発見して報告した者に対して、法的措置を講じたり、サービスへのアクセスを中止または終了したりすることはありません。LiveAgentは、非準拠の場合、すべての法的権利を留保します。
報告
疑わしい脆弱性の詳細をLiveAgent開発チーム（support@liveagent.com）と共有してください。このプロセス外でこれらの詳細を明示的な許可なく公開しないでください。
疑わしい脆弱性を報告する際には、できるだけ多くの情報を含めてください。複数のレポートを一度に提出したい場合は、1つのレポートのみを提出してください（可能であれば最も重要なもの）し、返信を待ってください。
補償
お客様を保護するのに役立つ脆弱性情報に対して報奨金を提供することに喜びを感じています。これはバグ報奨金プログラムに参加することを選択したセキュリティ研究者への感謝です。通常の報奨金は、当社の開発チームによって提出および検証された脆弱性あたり**$100**です。
脆弱性の最初の報告者のみに報酬を与えます。重複レポートは報酬の対象になりません。
スコープ
アカウント所有者であるか、アカウント所有者によって認可されたエージェントであるLiveAgentアカウントに対してのみテストを実行できます。例えば：
- yourdomain.ladesk.com
報奨対象の脆弱性タイプ
以下のタイプの脆弱性に対して報酬を支払います：
- リモートコマンド実行（RCE）
- SQLインジェクション
- 認証の破損
- セッション管理の破損
- アクセス制御のバイパス
- クロスサイトスクリプティング（XSS）
- クロスサイトリクエストフォージェリ（CSRF）
- オープンURLリダイレクション
- ディレクトリトラバーサル
注記： 攻撃者が管理者ロールのみで自分のアカウントのみを脅かすことができる場合のレポート、および管理者によるXSSは、報奨金の対象にはなりません。
適格となるには、脆弱性がソフトウェアの最新の公開リリース（公式にリリースされたパブリックベータを含む）に存在する必要があります。セキュリティ脆弱性のみが適格です。他のバグを適切なチャネルを通じて報告していただきたいのですが、このプログラムの目的はセキュリティ脆弱性を修正することであるため、セキュリティ脆弱性につながるバグのみが報酬の対象となります。その他のバグは、当社の裁量で受け入れられます。
ガイドライン
このプログラムに基づいて報酬の対象となるには、以下のガイドラインに従ってください：
- LiveAgentでホストされているデータを永続的に変更または削除しないでください。
- 脆弱性を実証するために必要な範囲を超えて、非公開のLiveAgentデータに意図的にアクセスしないでください。
- DDoS攻撃を実行したり、当社の内部または外部サービスを中断、中断、または低下させたりしないでください。
- LiveAgentから取得した機密情報（メンバーまたはドナーの支払い情報を含むがこれに限定されない）を第三者と共有しないでください。
- ソーシャルエンジニアリングはスコープ外です。QualityUnitスタッフ、メンバー、ベンダー、またはパートナーを含む誰に対しても、フィッシングメールを送信したり、その他のソーシャルエンジニアリング技術を使用したりしないでください。
さらに、脆弱性について公開で議論またはブログに投稿する前に、当社が脆弱性を修正するまで少なくとも90日間の猶予期間を設けてください。当社のチームは、セキュリティ研究者が自分の研究を報告する権利があると信じており、開示は非常に有益であると理解しています。また、脆弱性情報が悪用されるリスクを軽減するために、詳細をいつどのように保留するかは非常に主観的な問題であることを理解しています。より早い開示が必要と思われる場合は、対話を開始できるようにお知らせください。
変更ログ
セキュリティ上の問題が修正されたすべてについては、当社の変更ログ を通じて公開的に通知します。セキュリティに関連する問題は、**[セキュリティ]**タグでマークされています。
