セキュリティ

最終更新日 2026-10-01 · Nexus Studio または当社サービスにおける脆弱性の報告方法

Nexus Studio、本ウェブサイト、またはアカウントポータルでセキュリティ上の問題を発見された場合は、ぜひお知らせください。このページでは、報告方法、対象範囲、およびそれに対する弊社の取り組みについて説明しています。これは弊社のソフトウェアおよびシステムのみを対象としており、他者のシステムに対するテストを許可するものではありません。製品がお客様のデータをどのように扱うかについてはSecurity and privacyをご覧ください。インストーラーが弊社によって公開されたものであることを確認するには、Verify a downloadをご覧ください。

報告方法

以下の内容を記載の上、security@nexusstudioqa.com までメールでお送りください:

• 問題の内容、および攻撃者がそれによって何を達成できるか
• 影響を受ける Nexus Studio のバージョンまたはアドレス
• 再現するための最小限の手順
• クレジット表記を希望される場合は、お名前またはハンドルネーム

公開されている暗号化キーはまだありません。通常のメールでは送信できないほど機密性の高い報告の場合は、まずその旨をご連絡ください。安全な連絡方法を取り決めます。当社の security.txt にも同じ連絡先が記載されています。

対象範囲

• Nexus Studio: Studio、そのエンジン、コマンドラインツール、およびインストーラー（合法的に入手されたバージョン）。
• 当ウェブサイト、/app 配下のアカウントポータル、および /v1 配下のライセンスサービス（当社の独自ドメイン上）。

対象外

• お客様のシステムおよびインストール環境。そちらで発生した問題は、該当するお客様へ直接ご報告ください。当社はお客様のマシンへのアクセス権を持っておらず、対応することはできません。
• Cloudflare、Stripe、Resend、Google、GitHubなどの当社のプロバイダー。それらに直接報告してください。当社に影響がある場合は、当社にもお知らせください。
• 当社サービスに対するサービス妨害（DoS）、負荷テスト、またはスパム行為、ならびに当社に対するソーシャルエンジニアリングや物理的アクセス。
• テスト権限のないシステムをテストすることによって到達したすべてのもの。

皆様へのお願い

• 問題を公開する前に、修正のための合理的な期間を当社にお与えください。90日間をお願いしておりますが、さらに時間が必要な場合はその理由と共にお知らせします。
• 問題を実証するために必要な最低限のアクセスのみに留め、それ以上の操作は行わないでください。ご自身で作成したアカウントのみを使用し、他人のアカウント、データ、カードは絶対に使用しないでください。
• ご自身のものではないデータにアクセス、変更、削除、または複製しないでください。到達可能なレコードのスクリーンショットが証拠となり、データベースのコピーは不要です。
• 他のユーザー向けのサービス品質を低下させないでください。

当社のお約束

• 5営業日以内にレポートの受領確認を行います。
• 15営業日以内に評価を行い、脆弱性とみなすかどうか、および今後の対応方針をお知らせします。
• 修正対応中は進捗状況を随時お知らせし、修正版がリリースされた際にもご連絡いたします。
• ご希望があり、かつ報告内容が有効と認められた場合は、リリースノートにてお名前を掲載いたします。

現在、金銭による報奨金制度は設けておりません。金銭の要求や、何らかの見返りを得るための情報公開の脅迫を伴う報告は調査・研究とはみなされず、当社の誠実な対応の約束は適用されません。

セーフハーバー

お客様がこのポリシーを誠実に遵守しようと努めている場合、当社はお客様の調査が承認されたものであるとみなし、以下のとおり対応します：

• 当社は、コンピュータ詐欺および不正使用取締法（CFAA）、州のコンピュータ犯罪法、英国のコンピュータ不正使用法、またはその他の法域における同様の法律を含め、民事または刑事を問わず、その調査を理由としてお客様に対していかなる法的措置も追求または支援しません。
• 当社は、調査のためにNexus Studioのライセンスチェックやその他の技術的手段を回避したことについて、DMCA第1201条または同様の回避防止法に基づく請求を放棄します。また、リバースエンジニアリングやライセンスチェックのバイパスなど、その調査を禁止する可能性がある利用規約、利用許諾方針、およびLICENSEファイルの制限を放棄します。どちらの権利放棄も、お客様が合法的に取得したコピーに対してのみ、本ポリシーの範囲内の調査に対してのみ、かつライセンスチェックを無効にするツール、パッチ、キー、または方法を公開、共有、販売せず、回避されたコピーを調査以外の目的で使用しない限りにおいてのみ適用されます。これらは、回避ツールの取引には適用されません。
• 第三者が本ポリシーの範囲内の調査に関してあなたに対して請求を申し立てた場合、私たちはあなたが本ポリシーに基づいて行動したことを公表します。

この承認は、上記で対象となっている私たちのシステムのみを対象としています。私たちのプロバイダーや顧客のテストを承認することはできません。何かが対象に含まれるかどうかわからない場合は、事前に security@nexusstudioqa.com までお問い合わせください。

修正がインストール環境に反映される仕組み

Nexus Studioはお客様のマシン上で動作するため、当社がお客様のインストール環境に直接パッチを適用することはできません。当社がリリースを公開すると、Studioが次回のライセンス確認時にそれを通知し、お客様ご自身でインストールを行っていただく流れとなります。そのため、修正版がリリースされたことはお伝えできますが、すべての環境に適用されたかどうかを確認することはできません。ウェブサイト、ポータル、およびライセンスサービスの修正については、デプロイ後すぐに反映されます。

セキュリティ勧告と通知

Nexus Studio の脆弱性が積極的に悪用されていること、またはそのセキュリティに影響を与えるインシデントを認識した場合、サイバーレジリエンス法に基づく EU 単一報告プラットフォーム（EU Single Reporting Platform）を含め、法律で義務付けられている当局に報告します。また、影響を受けるインスタレーションをお持ちのすべてのアカウント保有者に、問題の内容と対処方法をメールでお知らせし、修正または緩和策が利用可能になり次第、このページでアドバイザリを公開します。