バグバウンティ

報奨の対象外

• 当方のウェブサイト、その API、当方のサーバー：z-text.com とそのすべてのサブドメイン、購入手続き、支払い、バウチャー。
• その唯一の例外を除き、2つの起点を超えるものを必要とするものすべて：デバイス上で実行される別のプログラムまたはコマンド、デバッガー、ルート化またはジェイルブレイク、改変されたアプリ、デバイスのストレージのバックアップまたはコピー、あるいはシードフレーズ。
• PIN またはパスワードを推測すること。
• オペレーティングシステムが保持または表示するもの：通知、スクリーンショット、アプリのプレビュー、クリップボード、システムの一覧に表示されるアプリ名。
• パニック PIN と「ウォレットを消去」が意図的に残すもの。これらは Z-Text がそのアカウントのためにデバイス上に保持しているもの、すなわちシードフレーズ、秘密鍵、メッセージ、連絡先、設定をすべて消去し、その後アプリは新しい空のファイルで初めから起動します。ご自身で保存したバックアップファイル（USB メモリやクラウドストレージ上の .ztbk ファイルなど）や、オペレーティングシステムがアプリの外に作成するコピー（通知履歴、システムのバックアップ、ストレージのスナップショット）には手を付けません。
• ネットワークの観察者、または接続先ノードの運営者に見えるもの。
• 改ざん、ルート化、スクリーンショットの各チェックを回避しただけのもの、またはレシートを作成せずに自分のデバイスで有料機能を解除すること。
• ステルスモード：これはカモフラージュであり、ロックではありません。
• メッセージの内容ではない、設定およびインストール情報。
• 無料提供、プロモーション、バウチャー、紹介報酬、支払額の許容誤差と端数処理、および当方に手数料または可用性の損失しか生じさせないものすべて。
• CAPTCHA、レート制限、ロックアウトに関する発見内容。
• 当方のドキュメントに記載されている動作、当方がすでに把握している問題、およびサードパーティ製コンポーネントの既知の欠陥。
• UI や機能上のバグ（それでも通常のバグ報告としてお送りください）、サービス妨害、セキュリティヘッダーの欠落、スキャナーの出力、ソーシャルエンジニアリング。
• 当方が開発していないサービス：決済事業者、Cloudflare、BitcoinZ および Zcash の各ネットワーク、ならびに light.z-text.com の背後にある標準の lightwalletd。

報告

• 報告は、完全なものになった時点で順位を得ます：達成した結果、当方が通常のデバイスで再現できる手順、および証拠がそろっていること。それ以前に届いたものには日付は付きません。
• 報告内容は、報告した日に当方のダウンロードページにある最新の公開リリースで動作する必要があります。あなたの報告を受けて当方がその後に提供した修正によって、報告が失格になることはありません。
• 当方が再現できない場合、報告はクローズされます。あなたからの返答が14日以内にない場合、報告はクローズされます。

報告方法

報告は次のメールアドレスまでお送りください： [email protected]。通常のメールで構いません。PGPによる暗号化は任意であり、完全にお任せします — 当方が必須とすることはありません。72時間以内の受領連絡と、そこからの協調的な開示を目指しています。

ルール

• テストの対象はアプリのみとし、ご自身のデバイスとご自身のウォレットで行ってください。当方のウェブサイト、その API、当方のサーバーをテストしないでください。自分のものではないデータへのアクセス・改変・破壊、サービス妨害テストの実施、または誰かに対するソーシャルエンジニアリングを行わないでください。
• まず非公開で報告してください。当方が同意する前に公表すると、資格を失います。
• チームメンバーおよび業務委託先には資格がありません。
• これらのルールに従った誠実な調査に対して、当方が法的措置を取ることはありません。

決定方法

• 報告が対象となるかどうか、重複かどうか、その重大度および報奨金は、当方が決定します。記載された結果の文言に一致するだけでは十分ではありません。当方は、実際に達成された内容を評価します。
• 報奨金は、当方が認定する根本原因1つにつき1件で、すべてのプラットフォーム、バージョン、変種を通じて適用されます。一連の手順は1件の発見です。最初の完全な報告がその報奨金を受け取ります。

支払いと変更

• 報奨金は、承認された順に、このプールからのみ、送金時の市場価格により ZEC で支払われます。プールが報奨金の全額を賄えない場合、報告者は残額を受け取り、プログラムは終了します。
• 時刻は UTC です。報告は、完全な形で [email protected] に届いた時点で受け取ったものとします。
• 当方はプログラムを変更または終了することがあります。報告は、完全な形で届いた日に公開されていた文面に基づいて評価されます。

条件の履歴

• 2026年6月4日から10月4日：フェーズ1。7 ZEC のプールから、1件につき 0.1〜3 ZEC。
• 2026年10月5日から：フェーズ2、金額は米ドル建て。ZEC が約430ドルから約1,500ドルに上昇したため、同じ ZEC の区分では意図していた額のおよそ3.5倍を支払うことになっていました。10月5日より前に受け取った報告はフェーズ1の条件で支払われます。
• 2026年10月10日から：このページは、どの結果がどの起点から報奨の対象となるかを完全に記載しています。報奨金の額に変更はありません。謝辞のみの「低」区分は廃止されました。それより前に受け取った報告は、以前の文面に基づいて評価されます。
• 2026年10月14日から：このプログラムの対象は Z-Text アプリのみです。当方のウェブサイト、その API、当方のサーバーは対象外となり、「緊急」と「高」にあったサーバーに関する2つの結果は削除されました。報奨金の額に変更はありません。それより前に受け取った報告は、以前の文面に基づいて評価されます。
• 2026年10月16日から：パニック PIN と「ウォレットを消去」が何を消去し、何を残すか（ご自身で保存したバックアップファイルと、オペレーティングシステムがアプリの外に作成するコピー）を、このページに明記しました。報奨金の額に変更はありません。それより前に受け取った報告は、以前の文面に基づいて評価されます。
• すべての支払いは、日付、重大度、適用された条件、トランザクションとともに掲載されます。