Banger Mailは誠実なセキュリティ研究を歓迎します。Banger Mailに脆弱性を発見したと思われる場合は、security@team.bangermail.comにメールしてください。影響を受けるホストまたはアプリケーション、再現手順、想定される影響、問題の理解に役立つログやスクリーンショットを含めてください。現在、PGPキーは公開していません。不要な秘密情報、個人データ、メールボックスの内容は送信しないでください。
報告方法
可能な限り、問題ごとに1件の報告を送信してください。安全に挙動を再現できる十分な詳細を示し、問題が現在悪用されていると考えるかどうかもお知らせください。脆弱性を示す十分な証拠が得られた時点で、テストを停止してください。
対象範囲
対象となるもの：
app.bangermail.com：Bangerウェブアプリ；api.bangermail.com：Banger API。api.bangermail.com/mcpのMCPサーバーとそのOAuthエンドポイントを含みます；auth.muchbetterapps.com：Bangerが使用するログインサービス（当社の旧社名が残っています）；cloud.bangermail.com：Googleメールボックスの接続を処理するサービス；およびbangermail.com：無料ツールを含む公開ウェブサイト。
認証、OAuthとエージェントの認可、APIキー、MCPツールの権限、ワークスペース間のアクセス、メールルーティング、別の顧客のドメインからの送信、メールボックスのデータ保護、機密データの露出に関する報告は特に有用です。
対象外
サービス拒否攻撃、大量の自動テスト、ソーシャルエンジニアリング、物理的攻撃、パスワードの使い回しによるアカウント乗っ取り、BangerMail Inc.が運営していない第三者サービスのみに存在する脆弱性は対象外です。迷惑メール、フィッシング、クレデンシャルスタッフィング、アクセスの永続化、データの持ち出し、問題の証明に必要な範囲を超えるデータ閲覧を行わないでください。
受領通知のSLA
対象範囲内の報告については3営業日以内に受領を通知し、調査中に追加の詳細をお願いする場合があります。ユーザーへの想定される影響、悪用の容易さ、メールボックスのデータやアカウントへのアクセスに影響するかどうかに基づいて優先順位を決めます。
セーフハーバー
本ポリシーに沿った誠実な研究は許可されたものと見なします。対象範囲を守り、プライバシー侵害とサービス中断を避け、偶発的なアクセスを速やかに報告し、データを保持または共有しない場合、その研究について法的措置を取ることはありません。
協調的開示
協調的開示の標準期間は受領通知後90日です。ただし、双方が別途合意した場合、または進行中の悪用へのより迅速な対応が必要な場合はこの限りではありません。これは報酬を支払うバグバウンティプログラムではありません。