セキュリティポリシー

SECP-01 — 概要

本ページは、ThutaTechエコシステムで現在実装されているセキュリティ対策の概要です。攻撃者を利する可能性のある内部詳細は意図的に省略しています。本ページは実務の説明であり、認証・保証ではありません。完全に安全なシステムは存在しません。

SECP-02 — アクセス制御と認証

Web製品の利用者認証は、セッション管理およびOAuthログインを含めClerkが担います。管理機能はロールにより制限され、アカウントセンターの管理者操作は監査ログに記録されます。該当する製品では、スコープ付きAPIトークンをサポートします。

SECP-03 — シークレット管理

サーバー側のAPI認証情報は環境設定に保存され、ブラウザに送信されることはありません。リポジトリにはシークレットスキャンのチェックが導入されています。Thuta IDEでは、お客様のAIキーはお客様の端末のOSキーチェーンに保存され、ThutaTechへ送信されません。

SECP-04 — 暗号化

すべてのWebトラフィックはHTTPS/TLSを使用し、当社サイトはHTTP Strict Transport Securityを設定しています。保存時の暗号化は、利用するマネージドデータベース・ストレージプロバイダーに依存します。プロバイダーの暗号化の詳細は外部委託先一覧のために確認中であり、確認が完了するまで本ページでは主張しません。

SECP-05 — 監視とログ

セキュリティ関連イベント（ログイン失敗、レート制限、管理者操作）を記録します。Thuta Flowは、保持・アーカイブジョブが定義された監査ログを保持します。Thuta Studioではエラー監視（Sentry）を使用し、レポートから機微なコンテンツを除外するよう構成しています。

SECP-06 — 不正利用の防止

レート制限が認証・請求エンドポイントを保護します。Webhookは署名検証を使用します（例：ClerkのWebhookはSvix署名、Thuta FlowはHMAC検証）。クレジット計測は予約／確定方式を採用し、二重消費を防止し、失敗した操作のクレジットを自動返還します。

SECP-07 — アップロードファイルと生成コード

アップロードされたファイルは専用のストレージバックエンドに保存され、管理された経路を通じて提供されます。生成されたアプリケーションコードはユーザーコンテンツとして扱われ、サンドボックス化されたビルド／プレビュー環境を除き、当社サーバー上で実行されません。

SECP-08 — 第三者リスク

認証、ホスティング、データベース、決済、AI処理について、外部委託先一覧に記載の確立されたプロバイダーを利用します。プロバイダーの追加時には、規約およびセキュリティ文書を確認します。

SECP-09 — インシデント対応

個人情報に影響するセキュリティインシデントを認識した場合、評価・封じ込めを行い、APPIの定めに従って影響を受ける利用者および個人情報保護委員会へ、適用法令が求める場合はその他の規制当局へ通知します。

SECP-10 — 脆弱性の報告

脆弱性の疑いは info@thutatech.com までご報告ください。調査に際して他の利用者のデータへアクセスしたり、本サービスを劣化させたりしないでください（AUP-03が適用されます）。報告には応答し、確認された問題に対応します。

SECP-11 — お客様の責任

認証情報を安全に保ち、強固で固有のパスワードを使用し、作成したAPIトークン・Webhookシークレットを保護し、エージェント機能の承認プロンプトは許可する前に確認してください。