セキュリティ

データCADは、組織の「どこに何のデータがあるか」という、それ自体が機密になりうる情報を扱います。運営する Tatami株式会社は、次の対策を行っています。

アカウントとログイン

パスワードを持たない。パスキー（WebAuthn。端末の中の鍵で署名し、サーバーは公開鍵だけを持つ。利用者の確認は必須・別のサイトでは使えない）か、Microsoft（職場・学校）・Google・Apple のログイン（ID トークンの署名・発行元・宛先・期限と、毎回発行する nonce を確認）
パスキーを無くしたときは、1回限りの回復コード（80ビット・ハッシュで保存・1時間10回まで）。パスキーの追加・ログインの方法の付け外しは、ログインから15分以内だけ
Enterprise はワークスペースを「自社の Microsoft・Google Workspace のアカウントでログインした人だけ」に限れる（招待のリンクが漏れても入れない。会社のログインから24時間で入り直し）
セッションは HttpOnly・Secure・SameSite=Lax・__Host- 接頭辞の Cookie。14日で失効。アカウント画面から「全端末からログアウト」
アカウントの削除・組織の所有者の譲渡・組織の削除・席数の変更は、ログインから15分以内だけ（乗っ取られたセッションで実行させない）
すべての書き込みに CSRF の確認（ログインしていない操作も含む）

権限の判定はすべてサーバーで行い、有料の中身はサーバーで伏せてから返す（画面のぼかしだけに頼らない）
非公開の図面は存在自体を隠す。共有リンク・招待リンクの秘密は144ビットの乱数で、URL の # の後ろ（サーバーのログ・Referer に載らない）とヘッダで渡す
組織の図面は非公開から始まり、管理者が許すまで公開できない。管理者は文書を AI に送ることも禁止できる

TLS 1.2 以上・HSTS（preload）。データは日本国内（AWS 東京リージョン）に保存し、ディスク・バックアップ・ログとも暗号化
サーバーにはインターネットから直接届かない（CloudFront の VPC オリジン経由のみ。SSH も閉じ、運用は AWS Systems Manager）
データベースは毎日バックアップし、35日間は誰も消せない設定（Object Lock）で保管。ランサムウェア対策
AWS WAF（攻撃の型・評判の悪い IP・回数の制限）、GuardDuty、CloudTrail、Security Hub で監視

Content Security Policy で読み込めるスクリプトを限定（外部は Google・Apple・Microsoft のログインの窓口だけ）。広告・行動の追跡のスクリプトは使わない
Excel・CSV の出力は、名前に仕込まれた式（=HYPERLINK など）が動かないよう無害化。AI 用の Markdown は、名前の中のリンク・画像が AI の画面で開かないよう無害化
アップロードされた文書は別のプロセスでメモリ・時間に上限をかけて読み、zip 爆弾・XML の実体展開を拒否。文書は保存しない
依存パッケージはハッシュで固定し、公開から日の浅い版は使わない。インストール時のスクリプトは動かさない

脆弱性を見つけた場合は、公開する前に下記からご連絡ください。誠実な調査・報告をされた方に対して法的な措置はとりません。他の利用者のデータへのアクセス・変更、サービスを止める試験、ソーシャルエンジニアリングはご遠慮ください。受け付けから5営業日以内に返信します。

機械が読める連絡先：/.well-known/security.txt