セキュリティ体制
SNSLab が採用している認証・決済・通信のセキュリティ設計と、脆弱性報告の受付窓口についてご案内します。
認証と 2 段階認証
会員認証には、SOC 2 Type II 認証を取得している認証基盤 Clerk を採用しています。パスワードは Clerk 側でハッシュ化保管され、当ラボのサーバーには生パスワードが到達しません。TOTP・SMS・パスキー等の 2 段階認証をアカウント設定から有効化できます。
Lab ポイントの安全な扱い
Lab ポイントは前払式支払手段類似のサイト内ポイントとして 180 日の有効期限で管理しています (資金決済法上の適用除外を維持)。ユーザー間送金機能は実装しません。本番運用開始時には Cloudflare D1 (SQLite) 上でユーザー ID 別に台帳を分離し、サーバー側で残高・在庫・価格を再検証したうえで冪等キー付きで決済を確定します。
通信の暗号化
当サイトとの通信はすべて TLS 1.3 で暗号化されています。Cloudflare の Universal SSL によって HTTPS が強制され、HSTS ヘッダーで通信のダウングレード攻撃を防ぎます。
DDoS 対策 / WAF
Cloudflare のグローバルネットワークで DDoS 攻撃を吸収し、WAF によって既知の脆弱性攻撃 (OWASP Top 10) を自動的にブロックします。ボット対策は Turnstile を近日中に導入予定です。
決済のセキュリティ
クレジットカード決済は PCI-DSS Level 1 準拠の Stripe が直接処理します。カード番号・CVC 等の機密情報は当ラボのサーバーを一切通過しません。仮想通貨決済も PCI-DSS 相当の運用基準を持つ決済代行事業者を経由します。
ローカル完結のデスクトップアプリ
XLab 等のデスクトップアプリで扱う SNS アカウントの Cookie・認証トークン・パスワードは OS の暗号化機能 (Windows DPAPI / macOS Keychain) を用いてローカルにのみ保管され、当ラボのサーバーには送信されません。
納品情報の取り扱い
アカウント購入で納品する認証情報は、モック期間中はご利用のブラウザの localStorage 内でのみ保持されます。他ユーザーへの漏洩を防ぐため、Clerk の userId を鍵に localStorage の名前空間を分離し、ログインユーザー切替時に自動でリセットします。ダッシュボードから任意のタイミングでご自身で削除できます。
監査と可観測性
Cloudflare Workers Observability により、Worker 上のリクエスト・エラー・レイテンシを継続的に監視しています。異常な操作パターンやレート制限違反は自動的にログに記録され、必要に応じて調査します。
Vulnerability disclosure
セキュリティの問題を見つけた方へ
本サービスに脆弱性の可能性を見つけた方は、まずは公開の場ではなく直接お知らせください。 報告いただいた内容は、影響範囲の調査・対応が完了するまで秘匿します。
- 報告先: hello@snslab.net (専用アドレスに順次差し替え予定)
- 報告内容: 脆弱性の概要、再現手順、想定される影響範囲、可能であれば PoC
- 初動応答: 原則 3 営業日以内に受領のご連絡を差し上げます
セーフハーバー (お願い)
- 公表前に必ず当ラボに 30 日以上の対応期間を設けてください
- 他の利用者のデータへのアクセス・破壊・情報漏洩は行わないでください
- 実サービスへの過剰な負荷をかける調査 (自動化スキャン等) は控えてください
- 個人情報を不必要にダウンロード・保存しないでください
善意の報告者に対する法的責任追及は行いません。上記の範囲でご協力いただけると幸いです。