セキュリティポリシー

セキュリティは、Branqoが構築するすべての中核をなすものです。当社はお客様のデータ保護を重視し、アプリケーション、インフラ、プロセスの全体にわたって業界標準のセキュリティ対策を実施しています。本ページでは、当社のセキュリティに関する取り組みと、脆弱性の報告方法について説明します。

責任ある開示プログラム

セキュリティ研究者は、当社のユーザーの安全を守るうえで重要な役割を果たしていると当社は考えています。Branqoにセキュリティ上の脆弱性を発見された場合は、責任ある方法でご報告いただくようお願いいたします。

研究者に対する当社のお約束

当社は進捗状況を随時お知らせし、修正がリリースされた際には（ご了承をいただいたうえで）貢献者として謝辞を掲載します。誠実に行動し、責任ある開示の慣行に従うセキュリティ研究者に対して、当社が法的措置を講じることはありません。

セキュリティ対策

通信のセキュリティ

Branqoデスクトップアプリケーション、当社のAPIサーバー、およびウェブサイト間のすべての通信は、最新の暗号スイートを用いたTLS 1.3で暗号化されています。当社はすべてのエンドポイントでHTTPSを強制し、最低1年間の有効期間を設定したHSTSヘッダーを使用しています。

認証とセッション管理

• パスワードのハッシュ化： すべてのパスワードは、ユーザーごとのソルトを用いてArgon2idでハッシュ化されます。当社が平文のパスワードを保存することは一切ありません。
• JWTトークン： 当社は、安全なリフレッシュトークンのローテーションを備えた短命のJSON Web Tokens（有効期限15分）を使用しています。トークンはRS256で署名されます。
• レート制限： 認証エンドポイントには、ブルートフォース攻撃を防ぐためレート制限が適用されています。ログインの失敗が繰り返されると、一時的にアカウントがロックされます。
• OAuth： 当社は、安全な認証のためにPKCEを用いたGitHubおよびGoogleのOAuth 2.0に対応しています。

データの暗号化

• 転送中： すべてのデータは、TLS 1.3を用いて転送中に暗号化されます。
• 保存時： 当社のデータベースに保存される機密データ（アカウント情報、サブスクリプションデータ）は、AES-256を用いて保存時に暗号化されます。

APIのセキュリティ

• すべてのAPIエンドポイントは認証を必要とします（公開マーケティングページを除く）。
• リクエストのペイロードは、サーバー側で検証・サニタイズされます。
• APIのレート制限は、不正利用を防ぐためユーザーごとに適用されます。
• CORSは、既知のBranqoドメインのみに制限されています。

お客様のコードは決して保存されません

Branqoはローカルファーストのアプリケーションです。お客様のリポジトリは、お客様のマシン上にのみ存在します。AI機能をご利用の際、コード差分はリアルタイムで処理され、当社のサーバーに保存されることは一切ありません。当社のAIプロキシはステートレスなパススルーです — お客様のリクエストをLLMプロバイダーに転送して応答を返すだけで、何も保持しません。内蔵のシークレットスキャナーにより、APIキー、トークン、その他の機密パターンは、コードコンテキストがお客様のマシンから送信される前にマスクされます。

インフラのセキュリティ

• 当社のバックエンドサービスは、攻撃対象領域を最小限に抑えた隔離されたコンテナ内で実行されます。
• 当社は、自動化された依存関係スキャンを使用して、サプライチェーンにおける既知の脆弱性を特定し、パッチを適用します。
• サーバーへのアクセスは、多要素認証を伴うSSH鍵認証を用いて、権限を有する担当者のみに制限されています。
• アプリケーションログは、異常なアクティビティがないか監視されています。ログにユーザーのコードや機密データが含まれることはありません。

第三者監査とバグバウンティ

当社は、セキュリティ対策の独立した検証に取り組んでいます。第三者によるセキュリティ監査を計画しており、評判の高いセキュリティ企業によって実施される予定です。監査結果は要約のうえ、公開されます。

セキュリティに関するお問い合わせ

セキュリティに関するお問い合わせ、脆弱性のご報告、その他のご懸念については、[email protected] までご連絡ください。セキュリティ以外の問題については、[email protected] をご利用ください。