QueueNote

脆弱性の報告について

QueueNote（キューノート）に脆弱性を見つけられた方は、 お問い合わせフォームからご連絡ください。 株式会社qnote は、善意のご報告に感謝し、誠実に対応します。

1. 報告先

  • フォーム — お問い合わせフォーム（件名や本文の冒頭に「脆弱性報告」とお書き添えください）
  • 対応言語 — 日本語・英語
  • 暗号化 — PGP 鍵は用意していません。暗号化した経路が必要な場合は、まずフォームからその旨だけをお送りください。手段を個別に調整します

フォームの内容は公開されません。 送信された内容は当社の管理画面と担当者への通知にのみ届きます。 SNS や公開のチケットには書かないでください（第三者の目に触れます）。

2. 対象範囲

次のものを対象とします。

  • queuenote.jp — 製品サイト・法務ページ・共通の API
  • *.queuenote.jp — 各ワークスペースの Web アプリと API
  • モバイルアプリ QueueNote（iOS / Android）
  • MCP サーバ（/mcp と、OAuth のディスカバリ・トークン発行のエンドポイント）

次のものは対象外です。

  • stg.queuenote.jp — 検証環境です。実データを持たず、未完成の状態で置かれることがあります
  • 当社が利用する外部サービス（Stripe、SendGrid、WorkOS、Google、Microsoft、Firebase、さくらインターネット 等）。各社の脆弱性は、それぞれの提供元の窓口へお願いします
  • www.qnote.co.jp（当社コーポレートサイト）。本ポリシーの対象は QueueNote です

当社が把握したうえで是正計画に載せている未対応の項目があります。これらについては、 「設定が無いこと」自体よりも、実際に悪用できる経路をお示しいただけると助かります （スキャナが出す「ヘッダが無い」「バージョンが見える」だけのご指摘は、多くの場合すでに把握しています）。

3. やってはいけないこと

次の行為は、本ポリシーによる保護（第 7 項）の対象外です。

  1. サービス妨害（DoS / DDoS）、負荷試験、大量のリクエスト送信
  2. 他の契約者・ユーザーのデータへのアクセス、取得、改変、削除。検証は、ご自身で作成したワークスペース・アカウントの範囲で行ってください
  3. 他者のデータに手が届くと分かったあとも、確認を超えてデータを取得し続けること（到達できることが分かった時点で止めて、ご報告ください）
  4. 当社の役職員・契約者・ユーザーに対するソーシャルエンジニアリング（フィッシング・なりすまし・詐称を含みます）
  5. 当社オフィス・データセンター等への物理的な侵入や、設備・機器への干渉
  6. スパムや不正なメールの送信、当社のメール配信基盤を用いた第三者への送信
  7. 修正前に、脆弱性の詳細を第三者へ公開・共有すること

4. ご報告に書いていただきたいこと

  1. 影響を受ける URL・エンドポイント・画面（モバイルアプリの場合はバージョンと OS）
  2. 再現手順（できるだけ具体的に。スクリーンショットや HTTP のやり取りがあると助かります）
  3. 想定される影響（何ができてしまうか）
  4. 検証に使われたアカウント（ご自身で作成されたものかどうか）
  5. 公表時にお名前を掲載してよいか

自動スキャナの出力のみですと評価ができません。恐れ入りますが、再現手順を添えてください。

5. 対応の目安

  1. 受領のご連絡 — 3 営業日以内
  2. 一次評価（再現可否・深刻度の判断）のご連絡 — 7 日以内
  3. 修正（critical） — 14 日以内
  4. 修正（high） — 30 日以内
  5. 修正（medium） — 90 日以内
  6. 修正（low） — 期限は定めません。是正計画に載せ、次回の更新時にご連絡します

「営業日」は日本の平日（土日祝を除く）です。修正に時間が要る場合は、途中経過をお知らせします。

6. 公開の調整（協調的開示）

  1. ご報告から 90 日、または修正の完了のいずれか早い時点をもって、公開していただいて構いません。
  2. 90 日で足りない見込みになったときは、当社から延長のご相談をします。
  3. 公表にあたっては、事前に一度ご連絡いただけると助かります（同時に当社からも案内を出すためです）。
  4. 公表時に、ご希望があれば報告者としてお名前を記載します。匿名のご希望も承ります。

7. 報奨金と、善意の報告者の保護

金銭的な報奨金（バグバウンティ）の制度はありません。誠に恐れ入りますが、 現在は謝辞（クレジット）でのお礼のみとさせていただいています。

本ポリシーに従った善意の調査・ご報告について、当社は次をお約束します。

  1. 報告者に対して法的措置を取りません。
  2. 調査の過程で生じた利用規約への抵触を、規約違反として扱いません。
  3. 第三者から報告者に対する法的請求があった場合、本ポリシーに従った行為であったことを明らかにします。

「本ポリシーに従った」とは、対象範囲の中で・やってはいけないことを行わず・修正前に公開しないことを指します。

8. English summary

Report security vulnerabilities in QueueNote through our contact form (Japanese or English). Submissions are private — they reach our admin console and the responsible staff only. In scope: queuenote.jp, *.queuenote.jp, the QueueNote mobile apps (iOS / Android), and the MCP server. Out of scope: stg.queuenote.jp, third-party services we use, and www.qnote.co.jp.

Please do not run denial-of-service or load tests; access, alter, or delete other customers' data (test only within a workspace you created — stop and report as soon as you can reach data that is not yours); social-engineer or phish our staff or users; attempt physical intrusion; or disclose the issue before it is fixed.

Our targets are acknowledgement within 3 business days, an initial assessment within 7 days, and a fix within 14 days (critical), 30 days (high), or 90 days (medium). Coordinated disclosure is 90 days from the report, or on completion of the fix, whichever comes first; we will ask you if we need more time. We do not run a paid bug bounty, and we offer credit in the advisory instead. We will not take legal action against good-faith research that follows this policy. We have no PGP key — if you need an encrypted channel, email us first and we will arrange one.

2026年8月30日 制定