セキュリティ

当社の考え方

セキュリティは機能ではありません。土台です。当社は、セキュリティを後付けではなく中核の原則として、Simplest1 を設計しました。

データの分離

各テナントのデータは、それぞれ分離された専用の SQLite データベースに保存されます。このアーキテクチャが意味するのは、次のことです。

• データベースのレベルで、顧客間のデータ漏えいは起こり得ません。
• あるテナントの脆弱性が、別のテナントのデータを露出させることはありません。
• お客様のデータは、完全かつ独立してエクスポートまたは削除できます。

暗号化

• 転送中：すべての接続で TLS 1.3 を使用します。
• 保存時：バックアップのコピーは Cloudflare R2 に保存され、保存されたオブジェクトは暗号化されます。
• パスワード：当社はマジックリンクを使用しているため、盗まれたり漏えいしたりするパスワードは存在しません。

認証

当社は、マジックリンクによるパスワードレス認証を使用しています。

• 覚えたり、使い回したり、盗まれたりするパスワードがありません。
• マジックリンクは 15 分で失効します。
• 各リンクは一度しか使用できません。
• 管理者のセッションは 30 日間有効で、サインアウトすると終了します。「すべての場所からログアウト」を使うと、すべてのセッションを一度に終了できます。プラットフォーム管理者のセッションは 24 時間有効です。

インフラストラクチャ

• 堅牢化されたクラウドインフラストラクチャでホスティングしています。
• 定期的なセキュリティパッチとアップデートを適用しています。
• DDoS 対策を有効にしています。
• 不要なアクセスを制限するファイアウォールルールを設定しています。

アプリケーションのセキュリティ

• CSRF 対策：すべてのフォームをトークンで保護しています。
• XSS 対策：すべての出力はデフォルトでエスケープされます。
• SQL インジェクション対策：すべてのクエリをパラメーター化しています。
• セキュリティヘッダー：HSTS、X-Frame-Options、nosniff、Referrer-Policy、Permissions-Policy。
• レート制限：ブルートフォース攻撃からの保護。

バックアップ

• Litestream による継続的なストリーミングバックアップ。
• 特定時点への復元機能。
• 地理的に離れた場所へのバックアップの保存。
• 定期的なバックアップ復元テスト。

インシデント対応

セキュリティインシデントが発生した場合、当社は次のように対応します。

• 影響を受けるユーザーに 72 時間以内に通知します。
• 何が起きたのかを明確に説明します。
• どのデータが影響を受けたのかを説明します。
• 再発防止のために講じる措置を説明します。

責任ある開示

セキュリティ上の脆弱性を発見された場合は、[email protected] までご報告ください。当社は責任ある開示に感謝し、48 時間以内にご報告を受領した旨をお知らせします。

ご質問

セキュリティに関するご質問やご不安がありますか？[email protected] までお問い合わせください。