Bot ごとのデータは PostgreSQL の Row Level Security という仕組みできっちり分け、特に大事なデータは AES-256-GCM という軍事級の暗号化技術で包みます。通信の暗号化から入口での防御まで、守りを何層にも重ねています。
入口の通信からデータの保管まで、必要なところに必要な守りを置いています。一覧に並ぶ 8 つが、いま実際に動いている対策です。
通信はすべて TLS 1.3 で暗号化
Cloudflare の WAF と DDoS 対策
大事なデータは AES-256-GCM で暗号化
Bot ごとのデータは RLS でしっかり分離
管理操作はすべて監査ログに記録
実装済みのセキュリティ対策
8 / 8
通信は TLS 1.3 で暗号化
Cloudflare の DDoS 対策
Cloudflare の WAF
SSL モードは Full (Strict)
HMAC によるリクエスト署名の検証
大事なデータは AES-256-GCM で暗号化
PostgreSQL の Row Level Security
管理操作の監査ログ記録
クライアント、エッジ、アプリケーション、データベース。それぞれの層に役割の違う対策を置いて、どこかが破られても次の層で食い止められるようにしています。
重ねた 4 層の守り
クライアント
TLS 1.3
ブラウザや API とのやり取りを暗号化します。
エッジ
Cloudflare
WAF と DDoS 対策で、怪しい通信を入口で止めます。SSL モードは Full (Strict) で運用しています。
アプリケーション
HMAC 署名
大事なリクエストには署名を付けて、途中で書き換えられていないか確かめます。
データベース
AES-256-GCM + RLS
中身を AES-256-GCM で暗号化したうえで、Row Level Security で Bot ごとに分けて保管します。
監査ログ
現在の保持期間: 7 日間
14:32:01
admin@botshade
bot.deploy
Bot 'WelcomeBot'
14:31:45
user_8f2k
variable.update
welcome_count = 3,421
14:30:22
user_7b1m
permission.denied
他の Bot のリソースへのアクセス試行
14:29:58
edge
request.blocked
Cloudflare WAF によるブロック
14:28:30
system
backup.complete
06:00 JST スナップショット
誰がいつ、何をしたのか。管理の操作とセキュリティに関わる出来事は、監査ログとして残しています。ログは ID ごとに書き出せるので、何かあったときの調査や後からの確認に使えます。
管理操作とセキュリティの出来事を記録
ID ごとに書き出せます
今の保持期間は 7 日間
Cloudflare のレイヤーで通信を守る
やり取りは TLS 1.3 という最新の規格で暗号化し、Cloudflare を通してお届けしています。WAF と DDoS 対策を有効にし、SSL モードは Full (Strict)。サーバー側の証明書も Cloudflare のオリジン証明書で固定しています。
HMAC でリクエストに署名
大事なリクエストには署名を付けて、途中で書き換えられていないかを確かめています。
大事なデータは AES-256-GCM で暗号化
個人情報のような大事なデータは AES-256-GCM で包んでから保存します。鍵はクラウドのシークレットマネージャという別の場所に預けています。
監査ログと Bot ごとの分離
管理の操作はすべて監査ログに残り、ID ごとに書き出せます (今の保持期間は 7 日間)。Bot ごとのデータは PostgreSQL の Row Level Security と Bot ごとの ID で、しっかり分けています。
TLS 1.3
通信の暗号化
Cloudflare Full (Strict)
AES-256-GCM
大事なデータの暗号化
鍵は別の場所に保管
HMAC
リクエストの署名
書き換えを検知
7 日間
監査ログの保持
ID ごとに書き出し可能
セキュリティ上の問題に気づいたら、悪用したり公開したりする前に、まず私たちに教えてください。誠実に報告してくださった調査には、私たちも誠実にお応えします。
01
報告する
再現の手順と影響する範囲を添えて、下の窓口までご連絡ください。
02
受領をお知らせ
内容を確認して、折り返しご連絡を差し上げます。
03
調べて直す
影響の大きさを見て、優先度を決めて修正します。進み具合は随時お伝えします。
04
公表とお礼
修正のあと、必要に応じて内容を公表し、ご希望があればお名前を載せます。
調べていただくときは、他のユーザー様のデータやサービスに影響が出ないようご配慮ください。誠実な調査としてご報告いただいた範囲について、私たちが法的措置を取ることはありません。
報告窓口: help@botshade.com