# セキュリティポリシー - Kanera > Kanera のセキュリティ慣行、責任の共有、および責任ある脆弱性報告ポリシー。 Canonical page: https://www.kanera.app/ja/security セキュリティ # セキュリティポリシー セキュリティは、特にホスト型展開とセルフホスト型展開のどちらかを選択するチームにとって、Kanera の構築、運用、文書化方法の一部です。 効果的 2026 年 8 月 20 日 ・バージョン 2 一目でわかる 導入 HostedKaneraは弊社が運営しております。セルフホスト型のKaneraはあなたによって運営されます。 アクセス 強力なアカウント制御、範囲指定されたアクセス許可、および慎重なワークスペース管理を使用します。 レポート セキュリティ レポートを security@kanera.app に送信します。 ## セキュリティモデル Hosted Kanera は、アプリケーションのセキュリティ、インフラストラクチャ、監視、アクセス管理、運用レビューにわたる階層的な制御を使用して設計されています。 自己ホスト型の Kanera を使用すると、チームはランタイム環境を制御できます。この制御は、組織が展開の強化、パッチ適用、バックアップ、ネットワークの公開、監視に対して責任を負うことも意味します。 ## 現在のアプリケーション制御 以下のコントロールは、2026 年 8 月 20 日にレビューされた現在のKanera 実装について説明しています。これらは、Kanera が独立したセキュリティ認証または監査意見を保持していることを表明するものではありません。コントロールやアーキテクチャが大幅に変更された場合は、このセクションを更新します。 - パスワードは、明示的なメモリハード構成を使用して Argon2id でハッシュされます。ログイン検証では、タイミングが等化されたパスも使用して、アカウント列挙信号を削減します。 - リフレッシュ トークンはランダムであり、SHA-256 ハッシュとしてのみ保存され、使用時にローテーションされ、再利用が検出されるとファミリーとして取り消されます。運用更新 Cookie は HttpOnly、Secure、SameSite=Lax であり、認証ルートに限定されています。 - 時間ベースのワンタイム パスワード MFA には、暗号化されたシークレット、ハッシュとして保存された 1 回限りのリカバリ コード、リプレイ保護、試行ロックアウトが含まれます。組織管理者は、データにアクセスするメンバーおよびボードゲストに対して MFA を要求できます。 - 認証、パスワード リセット、MFA、パブリック API、MCP、およびその他の機密ルートでは、レート制限または試行制御が使用されます。 Cloudflare Turnstile は、ホストされたサインアップとパスワード リセットのフローを保護できます。 - 組織、ワークスペース、ボード、ゲスト、API キー、および OAuth 権限はサーバー側で強制されます。ワークスペース API キーには、読み取り、書き込み、または管理スコープがあります。個人キーは所有者の現在の権限に従います。 OAuth は正確なリダイレクト URI と PKCE を使用します。 - API キー、OAuth トークン、検証コード、招待トークン、クライアント シークレットはハッシュとして保存されます。 MFA と構成された統合シークレットは保存時に暗号化されます。 - HTTP 応答では、HSTS、コンテンツ タイプ スニッフィング保護、フレーム制限、リファラー ポリシー、コンテンツ セキュリティ ポリシー、アクセス許可ポリシーなどの制御が使用されます。 - クロステナント サポート アクセスは、承認されたプラットフォーム管理者に制限され、期限付きで取り消し可能であり、製品に視覚的に示され、オペレーター、対象組織、理由、IP アドレス、ユーザー エージェント、開始時刻、有効期限、および終了時刻とともに記録されます。管理上の変更は別の監査証跡に書き込まれます。 ## セルフホスティングの責任 - 信頼できる証明書を使用して、HTTPS の背後で Kanera を実行します。 - Kanera、依存関係、オペレーティング システム、コンテナ、データベース、リバース プロキシを常に最新の状態に保ちます。 - 管理アクセスを制限し、秘密を保護し、必要に応じて資格情報をローテーションします。 - Kanera のオプションのセルフホスト型バックアップ ツールを有効にして構成するか、同等のバックアップ プロセスを提供し、定期的に復元をテストします。 - ネットワークの露出、ファイアウォール ルール、ストレージのアクセス許可、統合資格情報を確認します。 ## あなたのセキュリティ責任 - 利用可能な場合、または組織で要求されている場合は、一意のパスワードを使用し、多要素認証を有効にします。 - ブラウザ、デバイス、Kanera 展開、接続ツールを最新の状態に保ち、デバイスとバックアップを不正アクセスから保護します。 - ユーザー、API キー、OAuth または MCP クライアント、Webhook、およびその他の統合に必要な権限のみを付与し、そのアクセスを定期的に確認します。 - 使用されていないユーザーと統合を削除し、侵害された可能性があると思われる認証情報とセッションを取り消し、不正なアカウント アクセスの疑いがある場合は直ちに報告します。 - 統合を通じて機密情報、個人情報、または規制情報を送信する前に、サードパーティプロバイダーのセキュリティとプライバシーの実践を確認してください。 ## データ保護 ワークスペース所有者は、どのユーザーを招待するか、どのようなアクセス権を受け取るか、Kanera にどのコンテンツを配置するかを制御します。 組織がその使用に関する展開、構成、契約条件、および法的要件を確認していない限り、高度に規制されたデータを保存するためにKaneraを使用しないでください。 ホスト型 Kanera については、契約上のセキュリティ、インシデント通知、サブプロセッサー、支援、監査、および削除に関するコミットメントがデータ処理補遺に記載されています。当社は、影響を受ける顧客に個人データ侵害が確認されたことを不当な遅滞なく通​​知し、対応をサポートするために合理的に入手可能な情報を提供します。 - [データ処理に関する付録](https://www.kanera.app/ja/dpa) - [副処理者](https://www.kanera.app/ja/subprocessors) ## 脆弱性の報告 脆弱性の疑いがある場合は security@kanera.app に電子メールで送信してください。公共の問題を使用しないでください。影響を受けるコンポーネント、バージョン、URL、エンドポイント、または展開モードを含めます。再現手順または最小限の概念実証。影響が考えられる。シークレットが削除された関連リクエスト、ログ、またはスクリーンショット。ご希望の連絡先詳細と公的信用を希望するかどうか。当社は 3 営業日以内にレポートを確認し、10 営業日以内に初期評価または詳細情報の要求を行うことを目指しています。これらは目標であり、保証ではありません。 範囲には、認証と認可、テナントの分離、プライベートボードへのアクセス、保存されたシークレットとトークン漏洩、アップロードとファイル処理、API、OAuth、MCP、Webhook、リアルタイム機能、請求境界、およびデフォルトのセルフホスト展開が含まれます。ソーシャル エンジニアリング、スパム、意図的に脆弱な開発設定のみに依存する調査結果、および書面による許可のない運用環境に対するサービス拒否テストは対象外です。 現在、PGP キーは公開されておらず、通常の電子メールはエンドツーエンドで暗号化されたレポート チャネルではありません。ライブ認証情報や個人データを送信しないでください。最初のメールで、機密証拠のより安全な交換を手配する必要があるかどうかを尋ねてください。 - [セキュリティチームにメールで連絡する](mailto:security@kanera.app) - [機械読み取り可能なセキュリティ連絡先](https://www.kanera.app/.well-known/security.txt) ## セーフハーバーと情報開示 あなたが誠意を持って行動し、自分が所有するアカウント、データ、システムのみをテストするか、テストの明示的な許可を得て、上記の範囲内に留まり、プライバシー侵害やサービスの中断を回避し、問題を証明するために必要な最小限のデータのみにアクセスし、他人のデータに遭遇した場合は停止して報告し、そのデータを保持または開示せず、適用法を遵守する場合、当社はその研究を当社のポリシーの目的で認可されたものとして扱い、研究自体を理由にあなたに対して法的措置を講じることはありません。これは、当社の管理外にあるサードパーティのシステムやインフラストラクチャをテストしたり、ソーシャル エンジニアリングや物理的攻撃を使用したり、支払いを要求したりする許可ではありません。 公開前に調査と修正を行うための合理的な機会を与えてください。当社は、重大度、影響を受けるユーザー、修正の可用性、展開のニーズに基づいて開示スケジュールについてお客様と協力し、有意義なマイルストーンで常にお客様に情報を提供することを目指しています。緊急の開示が必要であると思われる場合は、security@kanera.app にリスクを説明して調整してください。 テストデータと機密証拠が不要になったら削除します。個人データ、資格情報、または顧客コンテンツに意図せずアクセスした場合は、テストを中止し、コピーまたは共有せず、適切に対応できるよう、アクセス内容をお知らせください。 ## バージョン履歴 バージョン 2 は、2026 年 8 月 20 日に発効します。バージョン 2 は、実装レビューを独立した認証から区別し、DPA における契約上のインシデントとセキュリティへの取り組みを関連付けます。バージョン 1 は 2026 年 7 月 16 日に発効しました。 ## Machine-readable resources - [Kanera AI index](https://www.kanera.app/llms.txt) - [Kanera documentation index](https://www.kanera.app/docs/llms.txt) - [Agent discovery guidance](https://www.kanera.app/agents.md)