セキュリティおよび脆弱性の開示

最終更新日:2026年7月28日

ChessCentrumは、当社のウェブサイトおよびサービスにおけるセキュリティ上の弱点に関する報告を歓迎します。本ページでは、弱点を当社に報告する方法、テストの際に行ってよいことと行ってはならないこと、そしてその見返りとして利用者が当社から何を期待できるかについて説明します。本ページは、オランダ国家サイバーセキュリティセンター(NCSC-NL)が公表するCoordinated Vulnerability Disclosure(協調的脆弱性開示)のガイドラインに従っています。ChessCentrumは一人で運営される小規模な独立プロジェクトであるため、以下の対応期間は楽観的にではなく、意図的に現実的な範囲で設定されています。当社としては、問題について何も知らされないよりも、知らされるほうを望んでいます。なお、本書はオランダ法およびEU(欧州連合)のデータ保護法制に基づいて作成されたものであり、ChessCentrumの運営者およびその個人データの取扱いはオランダを拠点としています。この点は、本書全体を通じて変わるものではありません。日本にお住まいの利用者は、日本の個人情報保護法(個人情報の保護に関する法律)に基づき独自の権利や保護を有する場合がありますが、本書はそうした日本法上の権利や手続について説明するものではない点にご留意ください。参考までに付言すると、EUのデータ保護法上の「データ管理者」に相当する概念は、日本の個人情報保護法では「個人情報取扱事業者」と呼ばれ、「処理者」に相当する概念は「委託先」と呼ばれるものに近いとされていますが、これらは正式に同一の定義を共有するものではありません。日本の個人情報保護法は、個人情報保護委員会(PPC)が所管しています。

弱点の報告方法

報告はメールでcontact@chesscentrum.comまでお送りください。これは監視されているメールボックスであり、当社が運用する唯一の報告窓口です。件名には「Security report」とご記入いただくと、識別しやすくなります。

当社は現時点でPGP鍵を公開していないため、暗号化された報告手段はまだご提供できません。発見された内容が通常のメールで送るには機微すぎる場合は、技術的な詳細を含めない短い最初のメッセージでその旨をお知らせください。その上で、これ以上の情報を送っていただく前に、より安全な連絡手段について利用者と合意します。

匿名での報告も受け付けており、同様に真摯に対応します。ただし、連絡先を残されない場合、当社から追加の質問をすることができず、経過をお知らせすることもできず、事後に功績を記載することもできない点にご留意ください。

報告に含めるべき内容

当社が再現できる報告は、迅速に修正できる報告です。以下の項目について、可能な限り多くご記入ください。

影響を受ける正確なアドレス、ページまたはエンドポイント、および関係するパラメータや入力内容。
問題を再現するための手順、および使用したアカウントまたは権限(ロール)。
攻撃者が実際に何を達成しうるかについて、利用者ご自身の言葉での説明、および利用者が考える深刻度。
問題を示すために必要となった証拠(リクエスト内容、スクリーンショット、短いログの抜粋など)。必要最小限にとどめてください。
使用したブラウザ、オペレーティングシステム、およびテストを行った日時。当社が該当するサーバーログを特定するために使用します。
修正を公表する際にどのように功績を記載してほしいか、または匿名を希望する旨。
経過の連絡を希望する場合は、利用者の連絡先。

対象範囲

以下のシステムは当社のものであり、これらに関する報告を歓迎します。

公開ウェブサイトchesscentrum.com、およびその配下で提供されるアプリケーション。当社に代わって第三者が運用するサブドメイン(特に当社のメール配信サービス)については、当社がテストを許可できる立場にありませんので、それぞれの運営者へ報告してください。
代替ドメインであるchesscentrum.nl、chesscentrum.euおよびchesscentrum.net、ならびにそれらのwww付きバリアント。いずれもchesscentrum.comへリダイレクトされます。
同一アプリケーションのステージング環境。既に発見されている場合が対象となります。当社はここではそのアドレスを公表していませんが、本番サイトに対する発見と同様に、ステージング環境に対する発見も歓迎します。
これらのホストの背後にあるアプリケーションロジック:サインインおよびアカウント管理、メール確認およびパスワード再設定、連携するチェスプラットフォームおよび連盟機能、スコアシートスキャナー、ニュースレターの登録および確認フロー、ならびにこれらを支えるサーバーアクションおよびルート。

対象外の範囲

ChessCentrumは、他社が運営するサービスの上で稼働しています。当社が所有しないシステムのテストを許可することはできず、それらに関する報告は当社ではなく、それぞれの運営者へ行っていただく必要があります。以下についてはテストを行わないでください。

サイトをホスティングし配信しているVercelのインフラストラクチャ。
フランクフルトで当社のデータベースを稼働させているSupabaseのインフラストラクチャ。
当社のトランザクションメールおよびニュースレターメールを配信しているResendのインフラストラクチャ。
地図ページで使用しているMaps JavaScript API、および提供している場合のGoogleサインインを含む、Googleの各種サービス。
サインインプロバイダおよび公開データソースとして利用しているLichess、ならびに公開データソースとしてのみ利用しているChess.com。
施設、ハードウェアまたは郵便物への物理的なアクセスや、それらに対する攻撃。
ChessCentrumの運営に携わる人物、当社のサプライヤー、または利用者に対するソーシャルエンジニアリング、フィッシング、その他の操作行為。
大量のトラフィックによるサービス妨害(DoS)、負荷テスト、ストレステスト、その他容量を枯渇させることを意図した行為。
実際の影響が示されないまま提出される、自動スキャナーの生の出力結果。

テストに関するルール

疑わしい弱点を調査すること自体は認められますが、その存在を示すために必要な範囲に限られます。証拠を得た時点で調査を止め、報告してください。以下のルールを守っていただく限り、当社は利用者の調査を誠実に行われたものとみなします。

他人に帰属するデータへのアクセス、ダウンロード、複製、変更または削除を行わないでください。
ご自身のアカウントを作成し、そのアカウントに対してテストを行ってください。他人のアカウントを使用したり、自分のものではないアカウントに対してブルートフォース攻撃やクレデンシャルスタッフィングを行ったりすることは、いかなる場合も認められません。
PoC(概念実証)の時点で止めてください。発見内容が必要とする範囲を超えてシステムの奥深くへ進んだり、どこまで到達できるかを試すために発見内容を連鎖させてより広範な侵害へと発展させたりしないでください。
サービス妨害(DoS)、負荷テストまたはストレステストを実行しないでください。また、他の利用者に対するサービスの品質を低下させるような速度で自動スキャンを実行しないでください。
マルウェア、バックドア、ウェブシェル、その他アクセスを維持するための手段を設置しないでください。また、設置してしまったものについては、作業終了後速やかに削除してください。
いかなるものも改変または改ざんせず、当社のフォームやメールを通じてスパムや大量メッセージを送信しないでください。
後述する開示に関する合意が成立する前に、当該弱点を公表したり、第三者と共有したりしないでください。
オランダの法律を遵守し、比例性の原則に沿って行動してください。

個人データに遭遇した場合

テストの過程で当社の利用者に帰属する個人データが露出した場合は、直ちに作業を中止してください。既に閲覧した以上の内容を閲覧せず、ダウンロードも複製も保持もしないでください。速やかに当社へお知らせいただき、データそのものを送付するのではなく、目にした内容を一般的な言葉で説明してください。また、当社が問題を再現できたことを確認次第、取得してしまったものは削除してください。

利用者ご自身の連絡先、および報告の内容は、当該報告の処理、問題の修正、ならびに希望される場合の功績の記載のためにのみ、当社が処理します。当社のプライバシーポリシーでは、当社が個人データをどのように取り扱うか、また利用者がどのような権利を有するかについて説明しています。

対応する可能性が低い報告

以下の事項は当社にしばしば報告されますが、それ単独では当社が対応できるセキュリティ上の問題を示すものではありません。それでも当社は目を通しますが、これらのいずれかを脆弱性として扱ってほしい場合は、実際に機能する、実証された影響を併せてご記入ください。

実証されたエクスプロイトを伴わない、セキュリティヘッダーの欠落や設定不備。
実証された悪用を伴わない、SPF、DKIMまたはDMARCの設定など、当社のメールレコードに関する指摘。
セルフXSS、または被害者自身が攻撃者から提供されたコードを自分のブラウザに貼り付ける必要がある問題。
実証された結果を伴わない、エンドポイントにおけるレート制限の欠如。
当社の実環境に対して実際に機能するエクスプロイトを伴わずに報告された、古いバージョンのライブラリまたは依存関係。
状態を変更する操作を伴わないページにおけるクリックジャッキング。
ニュースレターの登録やパスワード再設定など、当社が意図的に一律の応答を返しているフローに関するユーザー列挙(user enumeration)の指摘。
当社が管理していない第三者プロバイダの設定に関するベストプラクティスの助言。

利用者が当社に期待できること

ChessCentrumは、他の業務と並行して一人で運営されています。以下は、当社が確実に守れると考えている約束であり、単なる希望的な目標ではありません。

報告の受領を5営業日以内に確認します。
当該受領確認から10営業日以内に、問題を再現できるかどうか、および深刻度の評価を含む実質的な評価をお伝えします。
報告が終了するまで、少なくとも14日ごとに経過をお知らせします。修正が引き続き進行中であることのみが伝えるべき内容である場合も同様です。
当社自身のコードにおいて確認された弱点については、90日以内の修正を目指します。修正が第三者や当社の管理が及ばない依存関係に左右される場合は、それ以上の時間を要することがあり、その理由と見通しをお伝えします。
修正が本番環境に反映された際にはお知らせしますので、利用者ご自身で確認いただけます。
功績の記載を希望される場合は、修正内容またはリリースノートにおいて、利用者から提供されたお名前またはハンドルネームを記載します。匿名を希望される場合は、利用者について一切言及しません。
報告内容は機密として扱い、法令により義務付けられる場合を除き、利用者の同意なく第三者に情報を提供することはありません。

報奨:バグバウンティなし

ChessCentrumはバグバウンティプログラムを運営しておらず、脆弱性報告に対する金銭的な報奨も支払いません。利用者が支払いを期待して報告に時間を費やすことになるよりも、このことを最初にはっきりお伝えする方がよいと考えています。

当社が提供できるのは、心からの感謝、利用者が選ぶ形での公開の功績表示、そして当社が何を発見し何を変更したかについての率直な回答です。

協調的な開示と公表

当社は、弱点が修正されるまでその内容を秘密に保っていただき、公表を行う場合はその時期および内容について事前に当社と合意していただくようお願いします。標準的な期間は、当社が報告を受領確認した日から90日間であり、その後は自由に公表いただけます。この期間は双方向に交渉可能です。深刻かつ悪用が容易な問題についてはより短い期間がふさわしい場合があり、第三者に依存する修正についてはより長い期間が必要な場合があります。

合意した期日に間に合わない見込みとなった場合は、その期日が過ぎる前にお知らせし、理由を説明したうえで、新たな期日を提案します。当社は、期日を守れなかったことを理由に、無期限の沈黙を求めることはありません。当社自身が何かを公表する場合は、その文章を事前に利用者と共有します。

当社の法的立場

利用者が当社に弱点を報告し、本ページのルールを守り、誠実かつ比例的に行動する限り、当社は警察に通報することも、利用者に対して民事訴訟を提起することもありません。当社は、利用者の取組みを攻撃ではなく協力とみなします。

ただし、必要とされる証拠の範囲を超えて行動する、他人のデータにアクセスもしくはそれを保持する、サービスに損害を与える、または発見内容を報告せずに悪用もしくは売却するなど、上記のルールに違反した場合、この約束は効力を失います。

また、当社が取り除くことのできない限界についても正直にお伝えしなければなりません。この約束はChessCentrumのみを拘束するものです。オランダ検察庁(Openbaar Ministerie)を拘束するものではなく、同庁は常に独自の判断で捜査または起訴を行う可能性があります。

エスカレーションおよび参照情報

当社による報告への対応にご満足いただけない場合は、cert@ncsc.nl宛てにオランダ国家サイバーセキュリティセンターへエスカレーションすることができます。同センターは、報告者と組織との間で仲介を行うことができます。

以下の情報は、当社のsecurity.txtファイルにも機械可読な形式で公開されています。

報告先アドレス: contact@chesscentrum.com
本ポリシー: https://chesscentrum.com/ja/security
security.txt: https://chesscentrum.com/.well-known/security.txt
対応言語: オランダ語、英語、ドイツ語、フランス語、スペイン語、ポルトガル語
受領確認: 5営業日以内。実質的な評価はさらに10営業日以内に実施します。
開示までの期間: 標準90日間。双方向に交渉可能です。
バグバウンティ: なし。ご希望の場合は、代わりに公開の功績表示を提供します。
エスカレーション先: NCSC-NL、cert@ncsc.nl