セキュリティ全般
Q. ARROZではユーザーごとに会社のデータが分離されていますか？
はい。ユーザーの認証情報に紐づく会社情報を基準にアクセス範囲を判定し、別会社のデータへアクセスできないよう制御しています。
Q. 画面から会社IDを書き換えると別会社のデータへアクセスできますか？
できません。APIは画面から送られた会社IDを信用せず、認証トークンに含まれる会社情報を使用します。
Q. 管理者と一般ユーザーでは権限が分かれていますか？
はい。ユーザーのロールをサーバー側でも確認し、権限に応じて利用できる操作を制限しています。画面上でメニューを隠すだけではなく、API側でも権限を確認します。
Q. ログインしたまま放置した場合はどうなりますか？
最後の操作から1時間経過すると自動的にログアウトします。複数タブを開いている場合も、同じブラウザー内で最終操作時刻を共有します。
認証について
Q. パスワードを忘れた場合はどうすればよいですか？
ログイン画面からパスワード再設定メールを送信できます。アカウントの存在有無を画面から推測されないよう、送信結果は共通メッセージで表示されます。
Q. 招待メールには有効期限がありますか？
はい。ARROZ側の招待期限は24時間です。期限切れの場合は、管理者から招待メールを再送してください。
Q. 招待メールを再送するとどうなりますか？
新しい招待期限が設定され、新しい登録用リンクが送信されます。再送操作も監査ログに記録されます。
URL・ファイルの安全性について
Q. 外部URLを読み込んでも安全ですか？
ARROZでは外部URLを信頼できない入力として扱い、接続先IP、リダイレクト、URL形式、レスポンスサイズなどを検証してから取得します。プライベートIPやローカルネットワークなどへのアクセスは拒否します。
Q. 読み込んだWebページからARROZの内部ネットワークへアクセスされることはありませんか？
URL読み取りは専用環境で実行し、ローカルファイル、WebSocket、ダウンロードなどを制限しています。
Q. アップロードした画像はどのように検証されますか？
拡張子やブラウザーが申告したファイル形式だけでは判断せず、実際のファイル内容を確認してPNG、JPEG、WebP、GIFを判定します。
Q. 他社がアップロードした画像を参照できますか？
できません。画像は会社単位で所有権を確認し、他社のStorage領域を参照できないよう制御しています。
API・外部サービス連携について
Q. 外部サービスのパスワードやAPIキーはどこに保存されますか？
OpenAI APIキー、Client Secret、Refresh Token、WordPressのApplication Passwordなどの機密情報はSecret Managerに保存します。Firestoreには非機密情報や接続状態などのみ保存します。
Q. 外部サービスのAccess TokenやRefresh Tokenが監査ログに記録されることはありますか？
ありません。Access Token、Refresh Token、Client Secret、外部APIの生レスポンスは監査ログへ保存しません。
Q. 外部サービスへ送信すると、そのまま公開・配信されますか？
連携先によって異なりますが、WordPress、HubSpot、Marketoでは下書きとして作成します。Google Adsも広告を一時停止状態で作成します。
Q. API連携の利用回数には上限がありますか？
はい。契約プランごとの月間上限に加えて、短時間に大量のリクエストが行われた場合のレート制限もあります。
データ保存について
Q. ARROZのデータベースへブラウザーから直接書き込めますか？
重要なデータはブラウザーから直接更新できないようにし、Cloud Run APIを経由して処理します。
Q. 保存した画像は公開されますか？
会社内で利用する画像素材は非公開として管理されます。一方、メールやランディングページ、広告で使用する生成画像は、配信に必要な公開URLを発行できる領域で管理します。
Q. 契約終了後もデータは残りますか？
契約終了後は一定期間保持した後、削除対象となります。現行仕様では契約終了後30日で削除処理を開始します。
監査ログについて
Q. ユーザーの操作履歴は記録されますか？
はい。会社内の対象操作は監査ログへ記録されます。外部サービスへの送信は成功・失敗の両方を記録します。
Q. 監査ログはどのくらい保存されますか？
1年間保持します。管理画面では直近90日を確認でき、保持期間内の過去ログは期間を指定してCSV出力できます。
Q. APIの認証情報も監査ログで確認できますか？
いいえ。Token、Client Secretなどの機密情報は監査ログへ保存しません。
バックアップ・復旧について
Q. データのバックアップは行われていますか？
はい。本番環境ではFirestoreのPITRと日次バックアップ、StorageのSoft Deleteを利用しています。
Q. 誤って削除されたデータを復旧できる仕組みはありますか？
FirestoreとStorageについて復旧を想定した仕組みを用意しており、実バックアップを利用した隔離環境への復元訓練も実施済みです。
Q. バックアップをそのまま本番環境へ復元しますか？
いいえ。Firestoreはまず隔離された復元用データベースへ戻し、内容を確認する運用です。
Q. 開発環境に本番データをコピーしていますか？
いいえ。開発・検証環境には、本番データ、認証ユーザー、Secret、バックアップをコピーしない方針です。
監視について
Q. ARROZの障害は監視されていますか？
はい。本番環境ではサービスのヘルスチェック、5xx・401・403・429の増加、削除処理やSchedulerの失敗、使用量の不整合などを監視しています。
Q. サービスはどの地域から監視されていますか？
Asia Pacific、USA、Europeから定期的にヘルスチェックを実施しています。