STLUR のデータ保護と信頼への取り組み

全ての通信は TLS 1.2 以上で暗号化します。HTTP は HTTPS にリダイレクトされます。

データベースおよびオブジェクトストレージは AES-256 によるプロバイダーレベルの暗号化を使用しています。

Enterprise 認証スキャン機能では、ブラウザ拡張機能がクライアントサイドで AES-GCM 256bit の暗号化を行い、セッション Cookie を暗号化してから STLUR サーバーへ送信します。 暗号化キーはインストールトークンと HKDF を組み合わせた二層構造で保護されており、 ストレージ単体への侵害では復号できない設計です。 平文の認証情報はスキャン実行時のみメモリ上に存在し、完了後は即時破棄されます。

行レベルセキュリティ（RLS）により、各ユーザーは自社データのみにアクセスできます。 管理者インターフェースは MFA 保護された非公開エンドポイントです。

STLUR は自社インフラに対して月次 ZAP/Nuclei スキャンを自動実行し、重大所見を 30 日以内に修正します。

現在 SOC 2 Type I の準備段階です。STLUR が生成するレポートは SOC 2 Trust Services Criteria の証拠収集を支援しますが、 STLUR 自体の SOC 2 意見書ではありません。取得後に公開します。

データベースは毎日自動バックアップを実行し、最大 7 日間の PITR（任意時点復元）をサポートします。

スキャン結果は最低 13 ヶ月間保存します（前年同期比の差分計算に使用）。

現在、公開ステータスページを準備中です。準備でき次第こちらに追加します。