セキュリティに対する考え方
当社はセキュリティを、製品の付加機能ではなく、基本特性として扱っています。つまり、安全なデフォルト設定、最小限の構成、最新の依存関係、利便性ではなく必要性に基づくアクセス権限です。機能をリリースするエンジニアが、その機能のセキュリティへの影響も担当します。
このページでは、当社の取り組み（取得している認証、データの保存場所、支払いの保護方法、脆弱性を発見した場合の報告方法）をまとめています。
認証とコンプライアンス
当社は以下のフレームワークに拘束され、それに照らして自己監査を行っています。
- GDPR — EU一般データ保護規則への完全準拠。公開されたプライバシーポリシー、文書化された処理活動記録、指定されたデータ保護連絡先を含みます。
- PCI DSS — 支払いカードデータは、PCIレベル1認証を取得しているStripeによってのみ処理されます。当社は生のカード番号を表示、保存、送信することはありません。
- ISO 27001 — 当社のホスティングおよびプラットフォームベンダーは認証を取得しています。当社の内部情報セキュリティ管理システムも同じ管理策を反映しています。
- SOC 2 Type II — 顧客向けプラットフォームについて毎年完了しています。
証明書のコピーは、お問い合わせページからリクエストに応じて入手可能です。
転送中および保存中の暗号化
サイトとの間のすべてのトラフィックはTLS 1.3を使用します。古いプロトコルはロードバランサーレベルで無効化されています。HSTSはプリロードウィンドウで適用され、初回訪問後、ブラウザは平文HTTPでの接続を拒否します。
データベースおよびオブジェクトストレージ内の保存データは、AES-256で暗号化されています。暗号化キーはクラウドプロバイダーのKMSによって管理され、エンジニアが長期有効な平文キーを保持することはありません。
アクセス制御
本番環境へのアクセスは、少数の指名されたエンジニアに制限されています。認証はSSOと必須のMFA（通常はハードウェアセキュリティキー）を介して行われます。共有アカウントや静的なサービスアカウントパスワードはなく、すべての長期有効な認証情報は自動的にローテーションされます。
本番データに対するすべてのアクションは、実行者、時刻、影響を受けたレコードとともに記録されます。ログは不変であり、12か月間保持されます。
支払いセキュリティ
すべての支払いはStripe（およびポーランドの購入者向けにはPrzelewy24）を経由します。両方ともPCI-DSS認証を受けた決済処理業者です。カードフォームはそれらのサンドボックス内でレンダリングされるため、カードデータが当社のサーバーに触れることはなく、トークン化された参照のみを受け取ります。
デフォルトで3-D Secure 2を有効にしており、Stripeのリスクエンジンと独自の速度ルールに依存して不正試行をフラグ付けします。返金は元の方法でルーティングされ、カードデータの手動処理は行われません。
お客様のデータ
注文の処理に必要な最小限の情報（名前、請求先住所、メールアドレス、支払い参照）のみを収集します。個人データを第三者に販売することは決してありません。また、サードパーティの広告トラッカーを埋め込むこともありません。
GDPRに基づき、お客様はデータへのアクセス、修正、エクスポート、削除の権利を有します。プライバシーポリシーでは、これらの権利を行使する方法と、各カテゴリのデータが保持される期間について説明しています。
責任ある開示
セキュリティ上の問題を発見されたと思われる場合は、お問い合わせページからご連絡ください。1営業日以内に回答いたします。問題の内容、場所、再現方法をお知らせください。現在、有償のバグ報奨金プログラムは実施しておりませんが、責任ある開示に従った報告者を公開のセキュリティ謝辞ページでクレジットしています。
他のユーザーのアカウントに対するテスト、本番環境に対する自動スキャナーの実行、修正の機会を得る前の公開開示はご遠慮ください。