100 Fields Studioのセキュリティ

アプリとデータを守るために、現在実際に行っていることです。取得していない認証を取得済みとは言いません。

分離されたアプリ

各アプリは独自の空のオリジンを持つサンドボックス化されたページで動作するため、Studioのクッキーや他のアプリのデータを読むことはできません。サーバー関数は別のWebAssemblyサンドボックスで動作し、メモリと実行時間に制限があり、内部アドレスにはアクセスできません。

各コレクションを誰が読み取り・変更できるか（公開、ログインユーザー、オーナー、管理者）は、サーバー側で適用されます。チームの役割（オーナー、編集者、閲覧者）は、すべてのリクエストで確認されます。

パスワードはソルト付きscryptハッシュとしてのみ保存されます。アプリのシークレットキーは暗号化して保存され、再表示されることはありません。APIキーはSHA-256ハッシュとしてのみ保存されます。ログインセッションには署名が付いています。

データベースとアップロードされたファイルは、当社が利用するNeonとVercelのフランクフルト（EU）リージョンに保存されます。決済はStripeが処理し、当社がカード情報を見ることはありません。

内蔵のセキュリティ・品質チェックが、コード内のシークレットキー、誰でも読める個人データ、危険なコードのパターンなどを見つけ、AIで無料修正できます。

現時点では、SOC 2やISO 27001の認証、外部のペネトレーションテスト、バグバウンティプログラムはありません。脆弱性は info@100fields.com までご報告ください。2営業日以内にご返信します。