セキュリティ
セキュリティを、率直に説明します
今できていることだけを、取得していないバッジなしでお伝えします。SOC 2 や ISO 27001 の認証は取得していません。セキュリティ質問票への回答が必要な場合は、ご連絡ください。
インフラ
メールは AWS eu-central-1（フランクフルト）の Amazon SES から配信されます。アプリケーション、ワーカー、データベースは Railway の EU リージョン（オランダ、アムステルダム）で動いています。各チームは専用の SES テナントから送信するため、あるお客様の評価の問題が他のお客様に影響しません。SpacePost は専用の SES 設定セットと、SpacePost の SES、SQS、SNS リソースだけに制限した専用の IAM ユーザーを使います。
通信の暗号化
API、ダッシュボード、SMTP リレーは TLS が必須です。平文の HTTP リクエストはリダイレクトまたは拒否され、SMTP リレー(ポート 25976)では認証前に STARTTLS が必須です。
保存データの暗号化
データベースのボリュームとバックアップはホスティング事業者が保存時に暗号化し、Amazon SES に保存されるメッセージデータは AWS が暗号化します。
API キー
キー(sp_live_...)は作成時に 1 回だけ表示されます。保存するのは SHA-256 ハッシュのみのため、後からキーを表示したり復元したりすることはできません。キーは送信のみ、単一ドメインのみに制限でき、即座に失効できます。
Webhook の署名
すべての Webhook は、エンドポイントごとのシークレットで Standard Webhooks 方式(webhook-id、webhook-timestamp、webhook-signature)により署名されます。偽造されたリクエストや再送されたリクエストを拒否できます。
アクセス制御
すべてのデータはチーム単位に分離され、リクエストのたびに確認されます。ダッシュボードのログインは、メールとパスワード、マジックリンク、GitHub に対応しています。本番データへの社内スタッフのアクセスは、サポートと不正利用への対応に必要な範囲に限っています。
不正利用対策
新規チームは 7 日間、1 日 100 通までのサンドボックスに入ります。バウンス率や苦情率が高いチームは自動で一時停止し、送信前にすべての宛先を送信停止リストと照合します。
データの保持
メールログの保持期間は、Free が 30 日、Pro が 30 日、Scale が 60 日で、その後は定期ジョブで削除されます。送信停止リストの項目とアカウントデータは、アカウントが有効な間保持されます。削除とエクスポートはプライバシーポリシーをご覧ください。
責任ある開示
脆弱性を見つけましたか? 再現手順を添えて security@spacepost.dev までメールしてください。
- 報告は 3 営業日以内に受領を確認し、修正されるまで状況をお知らせします。
- 他のお客様のデータへのアクセス、サービスの劣化、当社インフラを使ったスパム送信、修正前の詳細の公開はおやめください。
- これらのルールを守った善意の調査に対して、法的措置は取りません。有償のバグバウンティプログラムはまだ実施していません。
サービスのインシデント: ステータスページ。