大切な回答データを、
仕組みで守る。

すべての通信をTLSで暗号化し、HSTS（preload対応）によりHTTPS接続を強制しています。

Content-Security-Policy、X-Content-Type-Options、Referrer-Policy、Permissions-Policy を全リクエストに適用しています。

管理画面を含む全ページで外部サイトへの埋め込みを禁止しています（サイト埋め込み用の回答画面のみ許可）。

アプリケーションは Vercel、データベースは Supabase のマネージド環境で運用し、インフラレイヤのパッチ適用を委任しています。

パスワードは bcrypt（コストファクタ12）でハッシュ化して保存し、平文では一切保持しません。

OAuth によるシングルサインオンに対応し、パスワードレスな運用を選択できます。

外部連携用のAPIキーは SHA-256 ハッシュのみを保存し、発行後の原文はサーバーに残しません。

セッションはサーバー側で検証され、リクエストごとに安全に更新されます。

アンケートや回答データへのアクセスは、APIごとにログインユーザーの所有権・権限をサーバー側で確認してから応答します。

チーム共有は「閲覧・編集・管理」の3段階ロールで、必要最小限の権限だけを付与できます。

運営管理者による操作は、操作者・対象・日時を記録しています。

運営管理画面には接続元IPアドレスによるアクセス制限を適用できます。

回答者情報を引き継ぐ連携リンクのパラメータは AES-256-GCM で暗号化し、URLから内容を読み取れないようにしています。

データのバックアップは AES-256 で暗号化したZIP形式で書き出し、ダウンロードリンクには14日間の有効期限を設けています。

アンケートごとにデータ保持期間を設定でき、期限を過ぎたデータは閲覧・出力できなくなります。

2年間利用のないアンケートは、30日前のメール通知を経て自動削除し、データを持ちすぎないことを仕組みで保証します。

ユーザー入力はサニタイズ処理を通し、動画などの埋め込みは許可リスト方式（YouTube / Vimeo / Google Drive のみ）に限定しています。

データベースへの問い合わせはすべてパラメータ化されており、文字列連結によるクエリ組み立ては行いません。

データを変更するリクエストは Origin ヘッダーを検証し、外部サイトからの偽装リクエストを遮断します。

APIにはレート制限を適用。キオスクモードのPIN認証は試行回数制限に加え、タイミング攻撃に耐性のある比較処理を用いています。

Webhook通知は HMAC-SHA256 署名に対応。送信先は HTTPS のみとし、内部ネットワーク宛の送信を遮断しています（SSRF対策）。

Webhookで回答内容を送るかどうかは明示的なオプトイン制で、さらに設問単位の許可リストで送信範囲を絞れます。

決済は Stripe を利用し、カード番号などの決済情報は当社のサーバーを経由・保存しません。

Stripe からの通知は署名を検証したもののみを受け付け、なりすましによる課金状態の改ざんを防ぎます。