セキュリティと脆弱性の報告
最終更新: 2026年8月
最終更新: 2026年8月
eSeGeCe コンポーネントライブラリは本番環境で動作するアプリケーションに組み込まれており、その多くはインターネットに直接公開されています。当社はセキュリティ上の不具合の報告を真剣に受け止めており、後から他所で知るよりも、早い段階で問題を把握したいと考えています。このページでは、当社への連絡方法、ご連絡いただいた後の流れ、そしてそれに対して当社がお約束することを説明します。
当社のお問い合わせフォームから、件名に「セキュリティ」とご記入のうえお送りください。一次サポートのチケット待ち行列ではなく開発者に直接届き、セキュリティに関する当社唯一の窓口です。脆弱性の報告にサポート契約や有効なライセンスは必要ありません。
以下の情報をできるだけ多くお知らせください。
報告を暗号化したい場合は、技術的な詳細を含めない最初のメールでその旨をお知らせください。経路を相談のうえ決めさせていただきます。
公開の前に修正版を出すための妥当な期間をいただけますようお願いします。当社が基準としている期間は、ご報告いただいた日から 90 日です。不具合が実際に悪用されている場合や、修正に想定以上の時間がかかる場合には、期限を黙って迎えるのではなく、時期についてご相談します。善意で脆弱性を報告し、本ポリシーに従ってくださる方に対して、当社が法的措置を取ることはありません。
対象となるのは、sgcWebSockets、sgcSign、sgcOpenAPI、sgcIndy、sgcBiometrics を含む、サポート対象のすべてのエディションの eSeGeCe コンポーネントライブラリと、当社が配布するサンプルおよびデモコード、そして本ウェブサイトです。
対象外となるのは、当社が配布していない第三者ソフトウェアのみに影響する指摘、実際の影響が示されていない自動スキャナーの出力、および当社のインフラや他のお客様への攻撃を伴うものです。サービス妨害試験の実施、当社サーバーへの総当たり攻撃、ご自身のものではないデータへのアクセスはお控えください。
ご指摘が Indy、zlib、OpenSSL など当社が基盤としている第三者コンポーネントに関するものであっても、ぜひお知らせください。EU サイバーレジリエンス法第 13 条第 6 項が当社に求めるとおり、上流の保守者へ報告を転送し、修正が当社のリリースに反映されるまで追跡します。
セキュリティ修正は、完全なソースコードとともに年に数回公開される通常の製品リリースの一部として提供されます。ライセンスにはサブスクリプション期間中の更新が含まれ、あるメジャーバージョンに対するセキュリティ修正は、その公開日から少なくとも 5 年間提供されます。すべてのライセンスに完全なソースコードが含まれるため、お客様が出荷されるコードを検査、修正、再ビルドするうえで、当社に依存する必要は一切ありません。
当社はリリースごとに、製品が構築されている最上位コンポーネントとそのライセンスを列挙した機械可読の SBOM を CycloneDX 形式で維持しています。サイバーレジリエンス法は製造者に対し、これを作成して技術文書に保持することを求めていますが、公開までは求めていません。そのため当社はここで公開する代わりに、ご請求に応じて提供しています。ライセンスをお持ちのお客様および市場監視当局は、対象の製品、エディション、バージョンを添えて当社のお問い合わせフォームからご請求ください。
EU サイバーレジリエンス法、規則 (EU) 2024/2847 に基づいて当社を供給者として評価されている場合、eSeGeCe コンポーネントを用いて構築された製品にとって CRA が何を意味するかについての当社の説明は、別ページにございます。
脆弱性の報告を含め、このページに関するご連絡はすべて当社のお問い合わせフォームから承ります。