セキュリティ

最終更新日：2026年8月25日

1. 通信の保護

• すべての通信を TLS で暗号化し、HSTS（max-age=31536000; includeSubDomains; preload）を配信しています。
• Content-Security-Policy を default-src 'self' 基準で適用し、frame-ancestors で埋め込み先を限定しています。
• X-Content-Type-Options: nosniff／X-Frame-Options／Referrer-Policy: strict-origin-when-cross-origin／Permissions-Policy（位置情報・マイク・決済を既定で無効）を全ページに付与しています。

2. ワークスペース分離（テナント分離）

• お客様データへのアクセスはすべてワークスペース単位でスコープされます。他ワークスペースのデータが返ることはありません。
• セッションは署名付き HttpOnly Cookie で識別します。署名のない、または改ざんされた識別子は受け付けません。
• 本番環境では、リクエストヘッダーによるワークスペース指定を受け付けません。アカウントに紐づくワークスペースは、正当な資格情報を提示した場合にのみ提供されます。
• アカウント台帳など内部テーブルの識別子は、リクエスト上のワークスペースとして解決できないよう予約されています。

3. 認証情報の保管

• アカウントおよび管理者のパスワードは scrypt（ソルト付き）で保存します。平文では保持しません。
• パスワード・トークンの照合は定数時間比較で行います。
• 連携サービス（MDM・チャット等）の資格情報および OAuth トークンは、AES-256-GCM により保存時に暗号化します。復号は送信処理のためのみに行い、画面や API 応答に返しません。
• 連携設定の参照・変更・解除はサインインした運用担当者のみが実行できます。

4. 本番環境のフェイルクローズ

本番環境は、セッション署名鍵が未設定・既定値・強度不足である場合、起動を拒否します。既定の管理者パスワードでの管理者トークン発行も拒否します。安全でない構成のまま稼働することがない設計です。

5. 濫用防止

• 公開エンドポイント・認証エンドポイントにIP 単位のレート制限を適用しています。
• ログイン試行の連続失敗に対してロックアウトを行います。
• 外部 Webhook 送信先は https に限定し、ループバック・リンクローカル・プライベート範囲への送信を拒否します。

6. 決済

決済は Stripe を利用し、当社サーバーがカード番号を保持することはありません。Stripe からの Webhook は署名検証を行い、検証できない要求は破棄します。

7. ログとデータの取り扱い

秘密鍵・アクセストークン・パスワードをログや保存済みトレースに記録しません。個人情報の取り扱いはプライバシーポリシー、可用性の指標はSLA、契約条件は利用規約をご参照ください。

8. 脆弱性の報告

製品またはサイトに脆弱性を発見された場合は、ai.sns.io.official@gmail.com までご連絡ください。再現手順を添えていただけますと確認が迅速に進みます。

ご報告いただいた内容の調査中は、第三者への公開をお控えいただくようお願いいたします。報告者に対して法的措置を講じることはありません。

9. 本ページについて

本ページは、上記時点で実装されている技術的対策を記載したものであり、特定の認証・監査の取得を表明するものではありません。認証・監査に関するご要望は前記窓口までお問い合わせください。