お客様のデータの保護方法
通信、認証、決済、アクセスの各領域で多層防御を実施しています。
暗号化された通信
HSTSを備えたHTTPSをすべてのページで使用し、WAFとDDoS保護を備えたCloudflareの背後で運用しています。オリジンはCloudflareのみに限定されています。
強力な認証
パスワードはbcryptでハッシュ化され、二要素認証（TOTP）もオプションで利用できます。TOTPのシークレットは保存時に暗号化されます。
カード情報は一切保存しません
カード決済はStripe（PCI-DSS準拠）が処理します。暗号資産決済はPayerURLが処理します。
デフォルトで堅牢化
リクエストごとのnonceを用いた厳格なContent-Security-Policy、同一オリジンによるCSRF対策、機微なエンドポイントへのレート制限を実施しています。
最小権限のシークレット管理
シークレットはコードには含めず環境変数で管理し、アクセスは最小権限の原則に従います。
定期的にレビュー実施
定期的なセキュリティレビューを実施し、責任ある開示による報告にはすべて対応します。
脆弱性の報告
セキュリティコミュニティからの報告を歓迎します。再現手順、影響を受けるURL、概念実証（PoC）があればメールでお送りください。
迅速な受領確認
報告には3営業日以内の受領確認を目指しています。
継続的な情報共有
問題が解決するまで、対応状況を継続してお知らせします。
協調的開示
公開前に、問題を修正するための妥当な期間をいただけますようお願いします。
対象範囲
本ポリシーが対象とする範囲と、対象としない範囲です。
対象範囲
webatla.com- 公開API：
/api - 当社のオリジンインフラ
対象外
- 大規模なDoSおよびDDoS攻撃
- ソーシャルエンジニアリングおよび物理的攻撃
- 当社が利用するサードパーティサービス（Cloudflare、Stripe、Brevo、Tawk.to）
- 動作する概念実証（PoC）を伴わない自動スキャナーの出力結果
セーフハーバー
本ポリシーに従い、誠実に行動し、プライバシー侵害やサービス妨害を避け、自分のものではないデータへのアクセスや変更を行わない研究者に対して、当社は法的措置を取ることも、それを支援することもありません。
機械可読な連絡先情報は RFC 9116 に従い、次のパスで公開しています： /.well-known/security.txt.