セキュリティは 最初から組み込み、後付けではありません
あなたはアイデアと、利用者のデータを私たちに預けています。それを守るために実際に何をしているかを、具体的にお伝えします。ここに載せているのは、今日すでに実施している取り組みだけです。
すべての通信をHTTPSに
builder77、builder77.appで公開されたすべてのアプリ、接続されたすべての独自ドメインはHTTPSで配信され、証明書は自動で発行されます。
bcryptでのパスワード保護
builder77アカウントのパスワードも、あなたのアプリの利用者のパスワードも、bcryptでハッシュ化しています。平文のパスワードを保存したり、ログに残したりすることはありません。
httpOnlyのセッションCookie
builder77のログイン情報は署名付きのJWTで、httpOnlyかつSameSiteのCookie（本番環境ではSecure）に保存されるため、ページのスクリプトからは読み取れません。
アプリごとのデータ分離
データベースへの問い合わせは、すべてひとつのアプリの範囲に限定されています。あるアプリが、別のアプリのデータ、利用者、アップロードを読み書きすることはできません。
アプリごとに分かれたオリジン
公開されたアプリと作成画面のプレビューは、builder77.comではなくそれぞれ専用のサブドメインで動くため、アプリのコードがあなたのbuilder77アカウントを操作することはできません。
コレクションのアクセスルール
「データ」タブで、コレクションごとに公開、ログインした人のみ、作成者のみ、閲覧のみを設定できます。ルールはサーバー側で適用されます。
プロジェクト専用のトークン
あなたが作ったアプリに利用者がログインすると、そのプロジェクト専用のトークンが発行されます。ほかの場所では使えません。
作成者だけが扱えるデータ
ログインしたアプリ利用者が作ったデータは、その本人しか編集・削除できません。アプリでは、利用者ごとに自分のデータだけを表示できます。
回数制限
会員登録、ログイン、パスワード再設定、フォーム、データベースへの書き込み、AIの呼び出し、アップロードには、ネットワークごとの回数制限があり、不正利用や総当たり攻撃を防ぎます。
非公開アプリと所有者だけのプレビュー
作成画面のプレビューは有効期限の短い署名付きリンクで、アプリの所有者にしか見えません。有料プランでは、公開したアプリを非公開にして自分だけが開けるようにできます。
責任の分担
私たちはサービス基盤を守ります。アプリが何を集め、誰が見られるかを決めるのはあなたです。次のような習慣が大きな効果を生みます。
個人情報にはログインを
アプリに個人的な情報を保存するなら、ログインを必須にして、利用者ごとに自分のデータだけを表示しましょう。
秘密の情報をコードに書かない
APIキーやパスワードをアプリのコードに貼り付けないでください。フロントエンドのコードにあるものは、訪問者から見えてしまいます。
社内ツールは非公開に
自分やチームだけで使うものを作っているなら、アプリの「設定」で非公開モードをオンにしましょう。
脆弱性の報告
builder77にセキュリティ上の脆弱性を見つけたと思われる場合は、お問い合わせフォーム（トピック：セキュリティ）からお知らせください。セキュリティ研究者の皆さまの取り組みに感謝しており、善意による報告には真剣に、敬意をもって対応します。
報告に含めていただきたいこと
- 問題の内容と、考えられる影響。
- 再現手順（URL、リクエストの詳細、概念実証コードなど）。
- 謝辞への掲載を希望される場合は、お名前またはハンドルネーム。
私たちのお約束
- 報告を受け取ってから3営業日以内にご連絡します。
- 調査と修正の進み具合をお知らせします。
- このガイドラインに沿って善意で行われた調査に対して、法的措置をとることはありません。
ガイドライン
- テストは、ご自身が所有するアカウントとアプリ、またはテストの許可を明示的に得たものに対してのみ行ってください。
- ほかの利用者のデータにアクセスしたり、変更・削除したりしないでください。自分のものではないデータが見えたら、すぐに作業を止めて報告してください。
- サービス妨害、スパム、ソーシャルエンジニアリング、物理的な攻撃は禁止です。
- 公表する前に、修正のための十分な時間をください。
builder77そのものの脆弱性ではなく、フィッシング、マルウェア、そのほかの不正に使われているアプリを報告する場合は、不正利用の報告ページかお問い合わせフォームをご利用ください。