セキュリティ

• 全通信を HTTPS で提供し、HSTS を設定しています（max-age=63072000、2年）。
• X-Content-Type-Options: nosniff — コンテンツタイプの推測を無効化。
• X-Frame-Options: SAMEORIGIN — 他サイトからのフレーム埋め込みを禁止（クリックジャッキング対策）。
• Referrer-Policy: strict-origin-when-cross-origin — 外部サイトへ完全なURLを渡しません。
• Permissions-Policy: カメラ・マイク・位置情報・決済APIをすべて無効化。
• Content-Security-Policy は現時点で未設定です。導入予定ですが、未実施であることを明記します。

• データベースは Supabase（PostgreSQL、東京リージョン ap-northeast-1）、ホスティングは Vercel（米国）です。
• 全テーブルで行レベルセキュリティ（RLS）を有効化しています。
• ウェイトリストのテーブルは匿名キーからは INSERT のみ可能で、読み出しはできません。
• ドア関連のテーブルはサービスロール（サーバー専用の秘密鍵）からのみ操作でき、ブラウザから直接クエリすることはできません。公開済みドアの読み取りのみ例外的に許可しています。
• アカウント機能は Supabase Auth を使用し、セッションは httpOnly Cookie で保持します。トークンを localStorage に保存しません（XSS でセッションを持ち出されないため）。

• 開示ゲート：ベンダーのエージェントは、ベンダー自身が明示的に承認した情報源からのみ回答します。承認されていない情報は回答に使われません。承認を取り消すと、その情報源に由来する既存のキャッシュ回答も即座に無効化されます。
• 回答には必ず出典を付し、承認済み情報源で答えられない質問には推測せず「回答できない」旨を返します。
• サイト取り込み時のクローラには SSRF 対策を実装しています：https/http のみ・標準ポートのみ・IPアドレス直指定や localhost / .local / .internal を拒否し、接続前にホスト名を DNS 解決して私設・ループバック・リンクローカル（クラウドのメタデータアドレスを含む）宛てを拒否、リダイレクトは自動追従せず1ホップごとに同じ検査を通します。
• 取り込むページ数・データ量・タイムアウトに上限を設けています。

本サービスが個人情報の処理を委託している事業者は以下のとおりです。

• 本番への反映は自動化されたパイプラインを通し、型チェックとビルド検証を通過したものだけが公開されます。
• 依存パッケージの脆弱性は自動検知と定期更新の対象です。
• データベース（Supabase）は Pro プランで運用しており、日次の自動バックアップが取得されます。遡れる範囲は直近7日分です（Supabase の公表仕様、2026-08-25 に確認）。
• 第三者によるセキュリティ認証（SOC 2、ISO 27001 等）は取得していません。
• 第三者による侵入テストは未実施です。
• 24時間監視体制および正式なインシデント対応SLAはまだ整備していません。
• Point-in-Time Recovery（秒単位で任意の時点に復旧できる有償アドオン）は有効化していません。復旧できる粒度は日次バックアップ単位です。
• バックアップからのリストア訓練は未実施です。バックアップが取得されていることと、実際に復旧できることは別の事実であり、確認できているのは前者だけです。

脆弱性を発見された場合は contact@agent-door.com までご連絡ください。再現手順を添えていただけると助かります。現時点で報奨金制度（バグバウンティ）は設けていませんが、ご報告には必ず返信し、修正状況をお伝えします。公開前の猶予期間についてもご相談させてください。