安全への取り組み
安全への取り組み
あんしんサインが、いま仕組みとして行っていることです。署名の方式と保管の期間は、確定次第お知らせします。
本人確認
URL を開いただけでは、署名になりません。
- 受け取る側は、メールに届くワンタイムコードで本人を確かめてから文書を開きます。リンクを開いただけでは、閲覧済みにも署名済みにもなりません。
- メールのリンクの鍵は、そのまま保存せず、ハッシュにして照合します。
- 送る側のログインはパスワードを使いません。ログインのたびに、メールに届くコードで確かめます。
- 所有者と管理者は、認証アプリによる 2 段階認証と回復コードを使えます。所有者は、組織の全員に 2 段階認証を必須にできます。
- 送る側は、署名者ごとにアクセスコードを付けられます。相手はメールのコードのあとに、電話など別の方法で伝えられたコードを入れます。アクセスコードはメールに書かず、5 回間違えると止まり、送った側が解除します。
記録
誰が、いつ、何をしたかを残します。
- 契約ごとに、送信・本人確認・署名・拒否・取消し・締結・取得などの操作を記録し、締結後は「監査」の記録として取得できます。
- 記録は追記だけで、書き換えや削除を受け付けません。順にハッシュでつなぎ、あとから変えると分かるようにしています。
- 所有者と管理者は、ログイン・招待・ロールの変更・署名の依頼と取消し・請求など、組織の操作の履歴を見られ、CSV で保存できます。CSV を保存したことも記録します。
- 契約ごとに、メンバーや署名者が文書を開き、成果物や控えを取得した記録を残し、契約の詳細に表示します（運営が状態を確かめたときは「運営」とだけ表示します）。
証拠
署名した版と証拠は、上書きしません。
- 送った文書の版・同意・署名・証拠は上書きしません。直すときは、新しい版として送り直します。
- 証拠の生成と検証が終わるまでは「締結済み」にしません。
- 確定 PDF と証拠は、送った側にも署名した側にも渡します（署名した側には、その人の分の要約）。
- 保管した成果物は、取り出すときと 1 日に 1 回、保管したときの記録と照らし合わせます。記録と合わないものは配りません。
守り
外からの攻撃に、仕組みで備えます。
- コードの入力を何度も間違えると、しばらく受け付けません。コードの送信・確認やダウンロードには、宛先や接続元ごとの回数の制限があります。
- 登録・ログイン・コードの送信の画面には、機械による大量の操作を見分ける仕組み（Cloudflare Turnstile）を組み込んでいます（公開する環境で有効にします）。
- PDF は受け付ける前に検査し、スクリプトや埋め込みファイルなどの実行要素・暗号化・編集の制限があるものを断ります。
- 画面には、読み込めるスクリプトの出どころを限る設定（Content Security Policy）など、ブラウザ側の守りの設定を付けています。
- 契約のデータを扱う内部の仕組み（api）はインターネットに公開せず、画面のサーバーからだけ呼び出します。操作の権限は、操作のたびにサーバーで確かめます。
アカウント
ログインの状態を確かめ、接続元を限れます。
- ログイン中の端末を一覧し、端末ごとにログアウトできます。端末の名前は「ブラウザ（OS）」程度の粗い語、接続元は末尾を伏せた IP アドレスだけを残します。
- 新しいログインがあると、本人にメールで知らせます。心当たりが無いときは、すべての端末からログアウトできます。
- メールアドレスを変えると、ほかの端末のログインはすべて解除し、新旧の両方のアドレスに知らせます。
- メンバーの停止・除名や、契約ごとの権限を外したときは、次の操作から効きます。
- 所有者は、ログインできる接続元を IP アドレスの範囲で限れます（20 件まで）。変えるときは本人の認証アプリで確かめ直し、所有者の全員に知らせます。締め出されたときは、所有者がメールのコードと認証アプリで確かめてリストを外せます。
運営
運営は、契約の本文を扱いません。
- 運営の画面は、契約の本文・件名・成果物・メールアドレスを表示しません。扱うのは件数・状態・ID だけです。
- 運営のログインは組織のアカウントとは別で、認証アプリによる 2 段階認証が必須です。運営が組織の状態を確かめたことも記録します。
- システムの記録（ログ）に、契約の本文・コード・リンクの鍵・メールの本文・カード番号を書き出しません。
通信と保存
通信は暗号化し、保存データは基盤の暗号化を使います。
- 通信は TLS（https）で暗号化します。
- 保存しているデータは、基盤の提供元（Cloudflare）が公開している仕様のとおり、保存時に暗号化されます。
- 原本・確定 PDF・証拠は公開のアドレスを持たない保管場所に置き、権限を確かめてから渡します。
- カード番号は決済の画面（Stripe）で入力し、あんしんサインには保存しません。
- 所有者は、組織のデータの持出し（JSON）と削除の要求を、アカウントの画面から行えます。
これから
確定次第お知らせする項目
次のことは、決まり次第このページでお知らせします。
署名の方式確定次第お知らせ
電子署名とタイムスタンプの事業者と方式は、確定次第お知らせします。
保管の期間確定次第お知らせ
保管の期間は保存方針に従います（期間は確定次第お知らせします）。