セキュリティ

ZOREVA-UI のセキュリティ

あなたのコード、アカウント、エージェントのアクセスは大切に扱われるべきです。このページでは、ウェブサイト、MCP サーバー、CLI で私たちが今実際に行っていることだけを紹介します。

最終更新 2026年10月28日

漏えいするパスワードのないサインイン

メールのワンタイムコード、Google、GitHub。セッショントークンは公開された署名鍵で検証します。

エージェントは OAuth でサインイン

MCP サーバーは PKCE 付き OAuth 2.1 を使用。アクセストークンは 1 時間で失効します。

CLI は実行前に確認します

編集前に差分、危険なコマンドの前に確認、Linux ではネットワークなしのサンドボックス。

支払いは Stripe で完結

カード情報は Stripe で入力され、当社サーバーには届きません。

01アカウントとサインイン

ウェブサイトへは、メールで届くワンタイムコード、または Google か GitHub でサインインします。ZOREVA-UI がパスワードの作成を求めることはありません。
サインインコードの請求は、ネットワークアドレスごと・メールアドレスごとに回数制限があります。
サインインフォームはアカウントの有無にかかわらず同じ応答を返すため、誰がアカウントを持っているかを調べることはできません。
セッショントークンは、アカウントデータを読む前に、毎回認証サービスの公開署名鍵（JWKS）で検証されます。

ホスト型 MCP サーバーは、PKCE と動的クライアント登録を備えた標準の OAuth 2.1 を使用します。zoreva-ui.com でサインインし、内容を確認して「許可」を押すだけで、クライアントにトークンが届きます。
アクセストークンの有効期間は 1 時間で、自動的に更新されます。設定ファイルに貼り付けるものはありません。
OAuth 非対応のクライアントは、アカウントページの手動トークンを使えます。有効期限は 7 日です。
ツール呼び出しごとに返すのはカタログの 1 アイテムだけです。エージェントに渡すダウンロードリンクは短命で、一度しか開けません。

zoreva-ui.com への通信はすべて HTTPS です。サイトは HSTS、Content Security Policy、フレーム埋め込みとコンテンツタイプ推測を防ぐヘッダーを送信します。
アカウントデータはマネージド Postgres に保存され、プラットフォームによる保存時の暗号化が適用されています。
公開データベーススキーマのテーブルでは、二重の防御として行レベルセキュリティを有効にしています。アプリ自身以外のデータベースロールは既定で拒否されます。
サービス間で共有するシークレットは定数時間で比較します。
製品ファイルは、決済キーや Webhook シークレットがソースコードに紛れ込まないようチェックしています。

何か見つけましたか？件名に「Security」と入れ、再現手順と想定される影響を添えてメールしてください。公開前に修正のための妥当な時間をいただき、テスト中に他人のデータへアクセスしたりサービスを妨げたりしないでください。