セキュリティ
セキュリティへの取り組み
Pentra は、お客様のメディアデータと Google 連携データを安全に扱うため、多層的なセキュリティ対策を実装しています。 本ページでは、現在実装している主な対策を記載します。
通信とデータの暗号化
- すべての通信は TLS（HTTPS）で暗号化しています。
- Google Search Console / Google Analytics 連携の認証トークン（リフレッシュトークン）は AES-256-GCM で暗号化して保存します。
- データベース（Supabase / PostgreSQL）は暗号化された環境に保存されます。
認証・認可
- 認証基盤に Supabase Authentication を採用（メール/パスワード + Google OAuth）。
- Google 連携は OAuth 2.0 を採用し、Google の OAuth 審査を通過しています。取得スコアは読み取り専用（webmasters.readonly / analytics.readonly）に限定しています。
- ワークスペース単位のロールベースアクセス制御（Owner / Editor / Writer / Viewer の4段階権限）を実装。決済操作はオーナーのみ、承認フローで公開権限を制御します。
- OAuth コールバックは HMAC 署名付き state と有効期限検証でCSRF・改ざんを防止します。
アプリケーション保護
- Content-Security-Policy（CSP）を適用し、外部スクリプトの読み込みを制限。X-Frame-Options: DENY、X-Content-Type-Options: nosniff、Referrer-Policy、Permissions-Policy、本番では HSTS を設定しています。
- 外部URL取得（クロール等）は SSRF 対策を実装。プライベートIP・内部ホスト・認証情報付きURLをブロックし、リダイレクト各ホップでも再検証します。
- API はレート制限（Upstash Redis）で保護。AI生成・クロール・公開・招待・お問い合わせ等に個別の上限を設定しています。
- 決済Webhookはイベントの冪等性チェックにより二重処理を防止します。
データの取り扱い
- お客様が入力・生成したデータを、AIモデルの学習に使用しない設定で運用しています。
- Google API から取得したデータを第三者に販売・貸与・共有することはありません。
- 決済情報（カード番号等）は当社サーバーに保存せず、Stripe が PCI DSS 準拠環境で処理します。
サブプロセッサ（外部委託先）
- Supabase（認証・データベース）
- Stripe（決済処理）
- Vercel（アプリケーションホスティング）
- OpenAI（AI生成処理）
- Upstash（レート制限）
認証・監査について
現時点で ISO 27001 / SOC 2 等の第三者認証は取得していません（取得に向けた体制整備を進めています）。 法人導入にあたってのセキュリティチェックシートへのご回答、データ処理契約（DPA）・秘密保持契約（NDA）の締結、 個別のセキュリティ要件については、下記よりお問い合わせください。
セキュリティに関するお問い合わせ →運営: GlobeZenith OÜ（登録番号: 16979948） / お問い合わせ: support@pentra.jp