セキュリティとデータ
データの置き場所、通信の守り方、アクセスできる人、そして何を記録しているか。
構築いただくシステムの中のデータは誰のものですか？
御社のものです。当社はご依頼のサービスを稼働させる目的でのみ取り扱い、それ以外には使いません。他のお客様のデータと混ぜることも、販売することも、御社の利用者に広告を出すために使うこともありません。お取引が終われば、データはそのままお持ち帰りいただけます。
通信中のデータはどのように守られていますか？
接続は HTTP/3 で行い、ドメインはブラウザにあらかじめ組み込まれた HSTS リストに登録されています。そのため、初回アクセスの時点からブラウザが暗号化なしの通信を拒否し、リダイレクトを横取りされる余地がありません。鍵交換は耐量子で、X25519 と ML-KEM-768 を組み合わせています。今日記録された通信が、量子計算機による解読を試みられる時代になっても耐えられるようにするための選択です。
パスワードや鍵、API 認証情報はどのように保管していますか？
ソースコードには決して置きません。これは心がけではなくビルドが強制しており、秘密情報を直接書き込んだコードは取り込まれる前に弾かれます。秘密情報は設定ストアに暗号化して保管し、実行時に必要な箇所でのみ復号します。そのため鍵の入れ替えは一か所の変更で済み、コード全体を探し回る必要がありません。
何が記録され、誰が変更したか分かりますか？
はい。アプリケーションのイベント、エラー、管理操作は、サーバーに散らばったテキストファイルではなくデータベースに書き込むため、実際に検索できます。管理操作については、誰が行い、何が変わり、いつだったかを記録します。「先月この価格を変えたのは誰か」という問いに、推測ではなく答えが出ます。
Cookie と同意はどのように扱っていますか？
必須でない Cookie は訪問者の同意を得たあとにのみ設定し、その選択を記録します。当社が構築するサイトにはいずれも、あとから変更・撤回できるページを用意しています。拒否は 1 クリックで済み、設定メニューを探し回る必要はありません。拒否した方にも、きちんと動くサイトが表示されます。