Safhaは安全？ セキュリティとファイルの取り扱い

個人データを販売せず、ターゲティング広告を表示せず、広告用Cookieや第三者のトラッキングCookieも使用しません。サイトのコンテンツセキュリティポリシーにより、当社のページは当社のドメインにしか接続できません（connect-src 'self'）。

ツールの利用にアカウントは必要ありません。アクセス解析は自社独自のもので、IPアドレスそのものは保存せず、毎日変わる秘密の値を使ってハッシュ化したトークンに変換します。ツールのログにファイル名や内容が含まれることはなく、記録するのはツール、処理場所、成功したかどうか、かかった時間、おおよそのサイズの範囲だけです。

ファイルはブラウザ内で読み込まれて処理され、結果はブラウザから直接ダウンロードします。ファイルはどのサーバーにも送信されません。 結合、分割、回転、自分のファイルへの署名、画像の圧縮など、ほとんどのPDF・画像ツールがこれに当たります。

Officeファイルの変換やOCRなど、ブラウザではうまく動かないソフトが必要なツールがあります。この場合、ファイルは暗号化された通信で当社の変換サービスに送信されて処理され、結果の送信後ただちに削除されます。

「PDF要約」「PDF翻訳」「PDFに質問」は、ファイルからテキストを抽出し、ファイルではなくそのテキストを、暗号化された通信でAnthropicに送信します。詳しくはAIのセクションをご覧ください。機密性の高い書類には、これらのツールを使わないことをおすすめします。

ほかの人に書類への署名を依頼すると、全員が署名するまで、書類、署名者の名前とメールアドレス、すべての手順の監査証跡を保存します。この機能はアカウントをお持ちの方専用です。保存期間は保存と削除に記載しています。

公式の「GDPR認証」というものは存在せず、当社も取得を主張していません。ただし、その原則は適用しています。収集するデータをできるだけ少なくし、保存するすべてのものに期限を設け、各ファイルの処理場所を説明しています。お客様には次の権利があります。

• 削除： 「マイアカウント」ページからご自身でアカウントを削除できます。
• 訂正： 名前と言語は「マイアカウント」ページで変更でき、それ以外はメールでご連絡ください。
• 開示とデータポータビリティ： アカウントのデータのコピーを[email protected]で請求できます。

OWASPのWebアプリケーションセキュリティのガイダンスに基づくプラクティスを適用しています。たとえば次のとおりです。

• コンテンツセキュリティポリシー（CSP）： スクリプトと接続は当社のドメインに限定され、サイトをほかのサイトに埋め込むことはできません。
• SSRF対策： 「HTMLをPDFに変換」と「HTMLを画像に変換」は公開されているhttpとhttpsのリンクのみを受け付け、すべての接続とリダイレクトでIPアドレスを確認するため、どのリクエストも当社の内部ネットワークには届きません。
• 隔離されたレンダリング： Webページを描画するブラウザは直接インターネットにアクセスできず、すべてのリクエストが同じ確認を通ります。アップロードされたHTMLファイルでは、スクリプトは初期設定で無効です。Officeファイルのマクロは決して実行されず、各変換は時間制限と書き込み量の上限付きで、それぞれ独立したプロセスで実行されます。

イラクには、2012年法律第78号「電子署名及び電子取引法」があります。Safhaの署名は単純な電子署名です。すべての手順の日時を記録した監査証跡と、元の書類と最終的な書類のSHA-256フィンガープリントを保存します。これらは認証機関によって認証された署名ではなく、その有効性について法的な助言は行いません。書類に特定の法的効力を持つ署名が必要な場合は、法律の専門家にご相談ください。

• ISO/IEC 27001： 独立した審査に向けて、この規格に沿った情報セキュリティマネジメントシステムを構築しています。
• 外部企業による独立したペネトレーションテスト。
• 管理者アカウントの2要素認証。
• 署名依頼ファイルの保存時の暗号化。

Safhaは、Contabo GmbHから借りているサーバーで稼働しています。RIPE NCCの登録情報によると、そのアドレス範囲はドイツで登録されています。各サービスはCoolifyで管理されるそれぞれ独立したDockerコンテナで動いています。Webサイトのアプリ、変換サービス、PostgreSQLデータベースです。

サイトの通信はCloudflareのネットワークを経由しており、そのサービスには分散型サービス妨害（DDoS）攻撃に対する自動保護が含まれています。サーバー内では、データベースはインターネットから切り離された内部ネットワーク上にあり、変換サービスは外部からの接続を一切受け付けません。変換サービスに接続できるのは、共有の秘密トークンを持つWebサイトのアプリだけです。

• サイト全体がHTTPSで動作し、HTTPのリクエストはHTTPSにリダイレクトされます。
• 接続はTLS 1.3に対応しています。
• 2年間のHSTSヘッダー（max-age=63072000; includeSubDomains）を送信しているため、ブラウザは暗号化された接続でしかサイトを開きません。
• Cloudflareと当社のサーバーの間の接続も、有効なTLS証明書で暗号化されています。

サーバーに保存するものはわずかです。データベースにはアカウント、ワークフロー、保存したCV、アクセス解析を、サーバーのディスクには署名依頼のファイルを保存しています。パスワードと署名用リンクのトークンは、ハッシュ（bcryptとSHA-256）としてのみ保存しています。はっきり申し上げると、現時点ではデータベースや署名依頼のファイルを独自の鍵で保存時に暗号化してはおらず、ネットワークの分離とサーバーの権限によって保護しています。

Safhaの役割は、メンバーと管理者の2つだけです。管理画面は管理者の役割を持つアカウントでしか開けず、その役割はサーバー側で2回確認します。管理画面にアクセスしたとき、そしてその中のすべてのページと操作のたびにです。アカウントの役割を変更したり停止したりすると、そのセッションはただちに終了します。

• 変換サービスはroot以外のユーザーとして読み取り専用のファイルシステム上で動き、書き込めるのはメモリ上の一時フォルダだけです。
• 秘密情報は起動時に一度だけ読み込み、その後root権限を放棄します。それらの秘密情報が変換プロセスに渡ることはありません。
• Anthropicの鍵は変換サービスの中にだけあり、Webサイトのアプリやブラウザに渡ることはありません。
• データベースのパスワードとセッション署名用の鍵はデプロイ基盤が生成し、誰も手入力しません。

現時点で管理者アカウントに2要素認証は提供しておらず、提供しているとも主張しません。導入するまでの間、最初の管理者パスワードはデプロイ基盤がランダムに生成し、ログインの試行回数はすべてのアカウントと同様に制限されています。

通知の送信やアプリのリリース公開など、利用者の端末に届く操作は、管理者の識別情報と日時とともに記録されます。