2025年11月：この記事は最新の報奨金制度を反映するために更新されました。最高支払額は $10,000から$100,000に引き上げられました。

Proton Mailと同様、Proton VPNはセキュリティを重視して構築しました。本日、Proton VPNのセキュリティをさらに強化するため、バグバウンティプログラムを開始します。

VPNサービスを運営するには、VPNの接続やプロトコル自体だけでなく、セキュリティが求められます。基盤となるサーバーインフラ、ウェブページやダッシュボード、VPNアプリ自体、決済システム、そしてユーザーデータベースにもセキュリティが必要です。ユーザーのプライバシーを適切に保護するには、サービスのあらゆる側面を侵害から守る必要があります。

Proton VPNの構築にあたり、当社は世界最大の安全なメールサービス(新しいウィンドウ)の運営を通じて培ったセキュリティの専門知識を活用しました。また、Proton Mailのセキュリティ貢献者(新しいウィンドウ)や幅広いコミュニティと協力し、Proton VPNのあらゆる側面の強化に取り組んできました。最近では、長年にわたるProton Mailのセキュリティ貢献者であるMazin Ahmed(新しいウィンドウ)氏と協力して、Proton VPNの包括的なセキュリティ監査を完了し、さらなる堅牢化を図りました。

当社のバグバウンティプログラムにより、Proton VPNユーザーを保護するために日々行っている活動をさらに拡大できます。そのため、Proton VPNが正式にリリースされた今、まず取り組んでいることの1つが、Proton VPNバグバウンティプログラムの開始です。このプログラムでは、世界中のセキュリティ専門家にProton VPN内の弱点を見つけていただくよう招請し、このプログラムを通じて報告されたセキュリティ問題に対して報奨金をお支払いします。セキュリティ研究者の方は、Proton Mailバグバウンティプログラム(新しいウィンドウ)にも参加できます。

Proton VPNバグバウンティプログラム

ルール

スコープ：このプログラムは、Proton VPNが運営するサーバーならびにウェブ、デスクトップ、モバイルアプリに限定されます。Facebook、Twitter、Linkedin、Eventbriteなどの当社プロフィールは対象外です。対象となるサイトは次のとおりです：

  • protonvpn.com
  • account.protonvpn.com
  • api.protonvpn.ch [注意：.chであり.comではありません]

Windows、MacOS、Linux、iOS、Android向けのProton VPNアプリも、このプログラムの対象です。

審査：受賞を決定する審査パネルは、Proton VPNとProton Mailの開発者で構成され、当社のセキュリティグループに所属する外部の専門家1名以上が補佐します。プログラム参加者は、審査員による最終決定を尊重することに同意するものとします。

責任ある開示：すべての脆弱性はsecurity@proton.meまでご報告いただくようお願いします。バグを実際に修正する以外の目的で第三者に脆弱性を開示することは、本プログラムの趣旨に反すると考えます。参加者は、発見したバグが修正されるまで開示しないこと、また混乱を避けるため、更新情報を通じて当社チームと開示の調整を行うことに同意するものとします。

責任あるテスト： ユーザーアカウントをハッキングしたり、データベースを破損させたり、機密性の高いデータを漏洩させたりしないでください。また、ユーザーへのサービス品質を低下させる脆弱性テストもお控えください。不明な点がある場合は、security@proton.meのセキュリティチームまでお気軽にお問い合わせください。

ルールの遵守：本プログラムに参加することで、上記のルールおよび条件を遵守することに同意したものとみなされます。報奨金の対象となるには、すべてのルールを守る必要があります。

対象となる脆弱性

ユーザーデータの機密性や完全性に実質的な影響を及ぼす設計上または実装上の問題は、本プログラムの対象となる可能性があります。これには以下が含まれますが、これらに限定されません：

ウェブアプリ

  • クロスサイトスクリプティング
  • クロスサイトリクエストフォージェリ
  • 混合コンテンツスクリプト
  • 認証または認可の不備
  • サーバー側のコード実行バグ
  • REST APIの脆弱性

サーバー

  • 不正なシェルアクセス
  • 権限昇格
  • リモートコード実行

アプリ

  • 認証または認可の不備
  • ルート化を伴わないローカルデータのセキュリティ侵害

当社はセキュリティ研究者との緊密な協力を重視しており、すべてのProton Mailユーザーのセキュリティ向上を目的として、選ばれた研究者とはAPI仕様、ソースコード、インフラの詳細などの技術情報を共有する用意があります。詳しくは security@proton.me までお問い合わせください。

対象となる改善提案

上記のいずれのカテゴリーにも当てはまらない改善提案に対して報奨金が支払われることもあります。これは当社チームが個別に判断します。具体的には次のようなものが含まれます：

  • サーバー構成の改善
  • ファイアウォールの構成
  • DoS/DDoS対策の改善
  • パス・情報の開示

対象外の脆弱性

  • 古いブラウザに影響する不具合（申し訳ありませんが、IE6のセキュリティ問題は対象外です）
  • Proton VPNの脅威モデルの範囲外となるセキュリティ問題
  • フィッシング(新しいウィンドウ)またはソーシャルエンジニアリング攻撃
  • 極めて起こりにくいユーザー操作を必要とするバグ
  • WordPressのバグ（ただし、WordPressに報告してください）
  • 古いソフトウェア。 さまざまな理由から、常に最新バージョンのソフトウェアを実行しているわけではありませんが、完全にパッチが適用されたソフトウェアを実行しています
  • OpenVPNまたはIKEv2のソフトウェアバグ（ただし、作者に報告してください）

報奨金額

当社が支払う報奨金の額は個別に決定され、主に問題の深刻度によって異なります。報奨金を受け取るには、通常問題を最初に報告した人である必要がありますが、例外が認められることもあります。おおよその報奨金の目安は以下のとおりです：

  • 最高報奨額：USD 100,000。
  • 重大度クリティカル：USD 25,000～USD 50,000、特別な条件や事前のアクセスを必要とせず、サービス環境の完全かつ持続的な不正制御を可能にする脆弱性、または全ユーザーのデータの機密性や完全性を侵害する脆弱性の発見。
  • 重大度高：USD 2,500～USD 25,000、特別な条件や事前のアクセスを必要とせず、サービス環境の大部分に対する持続的な不正制御につながる脆弱性、または広範なユーザーグループに影響を及ぼすデータの機密性や完全性の重大な侵害につながる脆弱性の発見。ただし、サービス全体の侵害には至りません。
  • 重大度中：USD 1,000～USD 2,500、サービス環境の一部に対する不正な制御を可能にする脆弱性、または単一のユーザーや小規模なグループのユーザーデータの完全性や機密性を侵害する脆弱性の発見。あるいは、より広範な影響を及ぼすものの、ユーザーの大幅な操作や特定の条件を必要とし、それでも機密データや制御の漏えいにつながる脆弱性。
  • 重大度低：ケースバイケース、デフォルトでは金銭的報酬なし、影響が限定的な脆弱性、または発生条件が考えにくい脆弱性の発見。

報告ガイドライン

問題は security@proton.me までご報告をお願いします。問題を報告する際は、再現方法に関するクリアな手順、および／または概念実証を添えてください。

よろしくお願いします。
Proton チーム