セキュリティ・運用方針

対象サービスと表示の考え方

この方針は次の販売・管理サービスを対象に、実装または運用上確認できた事項と、現時点で保証していない事項を分けて公開するものです。

セキュリティ上、攻撃に利用され得る設定値、認証情報、詳細なネットワーク構成、検知ルールは公開しません。

Implemented controls

設定・実装済み

本番公開経路のHTTPS、HSTS、Content Security Policy、クリックジャッキング・MIMEスニッフィング・参照元情報の制御を設定しています。

設定・実装済み

ログインセッション、役割・画面権限、パスワード変更、操作の監査ログを実装しています。

設定・実装済み

管理・更新処理に認証と権限確認を行い、フォーム/APIでは送信元の検証等を実施しています。

設定・実装済み

本番構成ではアプリとPostgreSQLを別サービスにし、データベースのポートをインターネットへ直接公開しない構成です。

設定・実装済み

アプリとデータベースにコンテナのヘルスチェックと自動再起動を設定しています。

設定・実装済み

依存パッケージ、コンテナイメージ、マルウェアを点検するスクリプトを各サービスに用意しています。

点検用スクリプトの存在は、固定間隔での実行や脆弱性が存在しないことを保証するものではありません。実行頻度を含む継続運用は、下記の未保証事項として区別します。

Separation

本番構成では、3cha.siteと3つの業種別サービスを別のアプリケーションとして構成しています。各業種別サービス内でも、販売・契約管理用アプリと公開デモ用アプリ、対応するデータベース・永続ボリュームを分ける構成です。

この分離はアプリケーションとコンテナ構成上の分離です。同じ物理サーバーを一切共有しないことや、すべての外部事業者が別であることまで保証するものではありません。

Backup disclosure

現時点では、全サービス共通の定期バックアップを契約上の保証として提示していません。 確認できる範囲を次のとおり開示します。

データの永続化: PostgreSQLのデータを永続ボリュームへ保存する構成です。ただし、永続ボリュームはバックアップそのものではありません。
定期バックアップ: 全サービス共通の実行頻度、保存先、保存期間は、現時点でサービス保証として確定・公開していません。
復元検証: 不動産サイトの開発環境では、暗号化したダンプを隔離データベースへ復元するローカルドリルを実施しています。これは本番バックアップの継続実行や、他サービスの復元を保証するものではありません。
RPO・RTO: 復旧時点目標（RPO）と復旧時間目標（RTO）は、全プラン共通の保証値を設定していません。

バックアップ要件があるお客様へ： 必要な頻度、保存期間、保存場所、暗号化、復元時間、データ受け渡し方法を、本番公開前に書面で確認してください。合意がない状態では、3cha.siteだけを原本の唯一の保管先にしないでください。

Not guaranteed

必要な水準がある場合は、プラン選択前にsupport@3cha.siteへご相談ください。個別に合意した条件がある場合は、その契約条件を優先します。

Report & updates

脆弱性、情報の誤公開、不審な挙動を発見した場合は、対象URL、再現手順、確認日時、影響の見立てを support@3cha.siteへお送りください。認証情報や第三者の個人情報はメール本文に記載しないでください。

対策または運用保証の内容を変更した場合は、確認できた事実に合わせてこのページとサポート・解約・データ移行方針を更新します。