セキュリティ対策

アカウント分離、キーの所有権、正確な会計を中心に設計された制御。

認証とキー

生成した16桁アカウントキー、またはメールとパスワードでログインします。アカウントキーは一度のみ表示され復旧不可で、APIキーとは別です。ダッシュボードはHttpOnly Cookieとオリジン確認を使用します。公開APIには別の暗号学的APIキーが必要です。APIキー原文は一度のみ表示しハッシュ保存します。管理操作にはロール認可とMFAが必要です。

財務の整合性

D1が残高と台帳の正式な保存先です。条件付きトランザクション書き込みとアカウント別Durable Objectsが確保と精算を保護します。一意の財務参照で請求・入金の重複を防ぎます。使用量不明時は確認のため確保を維持します。

最小限のデータ

アクティビティ記録にはプロンプト、応答、ツール内容、認証ヘッダーを含めません。Workerの本文ログとトレースは無効です。広告トラッカーは含まれません。

問題を報告

脆弱性の疑いは運営者の公開セキュリティ窓口へ報告してください。簡潔な説明、対象エンドポイント、安全な再現手順を添えます。他の顧客データへのアクセスや秘密情報の開示はしないでください。

2026年11月1日更新。