セキュリティ

カコトレ（Kakotre）は、学習データとお客様情報の保護を最優先に設計・運用しています。 ここでは主なセキュリティ対策と運用方針を公開します。

最終更新：2026-03-21

通信・データ保護
  • TLS 暗号化：本番環境では HTTPS（TLS）での運用を前提としています（開発環境は HTTP を含みます）。
  • 保存データ保護：アプリ設定の機密値は環境変数で管理し、アクセス制御のもとで運用しています。
  • バックアップ：バックアップおよび復旧は、インフラ運用方針に沿って実施します。
アカウント・認証
  • パスワード保護：パスワードは平文で保存しません。強度の高いハッシュ（例：PBKDF2/Argon2）で保護します。
  • ログイン試行の制御：現在は Django 標準認証を利用しており、追加のレート制限は今後の対応項目です。
  • セッション管理：Cookie 属性（HttpOnly / SameSite）を利用し、Secure 属性は本番設定で有効化します。
  • 多要素認証（2FA）：現時点では未提供です（導入を検討中）。
アプリケーションの保護
  • 共通脆弱性対策：CSRF トークン、入力バリデーション、テンプレートエスケープ、権限チェックを実施。
  • 依存関係管理：依存ライブラリは定期的に更新します（自動監視の強化は今後対応予定）。
  • 監査ログ：決済 Webhook など一部の重要イベントは記録しています。ログイン監査の強化は今後の対応項目です。
  • セキュリティヘッダ：Django 標準の保護機能（例：X-Frame-Options）に加え、本番環境では HTTPS リダイレクトと HSTS を有効化しています。
  • 決済保護（Stripe）：Webhook 署名検証、`event.id` による重複排除、Checkout 作成時の冪等性キー、決済障害時の通知を実装しています。
インシデント対応
  • 万一問題を検知した場合は、原因究明・影響範囲の特定・再発防止策の実施を速やかに行います。
  • 個人情報に関わるインシデントでは、法令・ガイドラインに従い、必要に応じて速やかに通知します。
脆弱性の報告

脆弱性を発見された場合は、お問い合わせフォーム からご連絡ください。 公開前の責任ある開示（Responsible Disclosure）にご協力をお願いします。

  • 第三者のデータ閲覧や破壊を試みる攻撃的検証は行わないでください。
  • 再現手順・影響・緩和策の提案などを添えていただけると助かります。
  • 確認できた問題は優先度に基づき速やかに修正します。
関連ポリシー