ZillaSoftのセキュリティ
アカウント、データ、製品を支えるインフラストラクチャを保護する方法。
私たちが行っている保護対策
これらのプラクティスは今日から有効です。将来の計画ではありません。
常時HTTPS
すべてのトラフィックはHTTPSのみで提供されます。HTTPリクエストは拒否されます。プロトコルダウングレード攻撃を防ぐため、HSTSはmax-age1年で適用されています。
セキュリティヘッダー
すべてのレスポンスにX-Content-Type-Options、X-Frame-Options（DENY）、Referrer-Policy（strict-origin-when-cross-origin）、CDNレイヤーで適用される厳格なContent Security Policyが含まれます。XSS保護は非推奨のX-XSS-Protectionヘッダーではなく、script-src 'self'ポリシーを持つCSPによって処理されます。
Auth0による認証
すべてのユーザー認証は、ローテーションするリフレッシュトークンを用いたPKCEフローを通じてAuth0が管理します。ZillaSoftはパスワードを一切保存しません。セッショントークンはブラウザ内でAuth0 SDKによって管理され、サインアウト時に消去されます。
保存データの暗号化
すべてのSnipzillaスニペットデータはAES-256-GCMでローカルに暗号化されます。アクセスは個人用パスフレーズで保護され、バックアップとして一度限りのリカバリーコードが用意されます。暗号化キーはデバイスのOSキーリングに保持され、データと一緒にディスクに書き込まれることはありません。スニペットファイルは保存中は読み取り不能であり、基礎ストレージへの直接アクセスがあっても同様です。
CDNによるグローバル配信
ZillaSoftウェブサイトはグローバルに分散されたCDNであるAWS CloudFront経由で提供されます。静的アセットは各訪問者の近くのエッジロケーションから提供され、オリジンサーバーは公共のインターネットに露出しません。
メール認証
zillasoft.ioからのすべての送信メールはDKIM署名とDMARCポリシー適用により保護されています。これによりメールなりすましが防止され、トランザクションおよび通知メッセージのメール整合性が確保されます。
ボット・スパム対策
すべての公開フォームはCloudflare Turnstileを使用して、侵襲的なトラッキングなしに人間による送信を確認します。二次ハニーポット層が、リクエストがバックエンドに届く前に自動ボットをサイレントにフィルタリングします。
APIレート制限
当社のAPIはエンドポイントごとのレート制限を適用し、不正使用やブルートフォース攻撃を防ぎます。しきい値を超えたリクエストはアプリケーションロジックに到達する前に拒否されます。
あなたのデータはデバイスに保存
Standardプランのお客様のコンテンツ（スニペットとクリップ）はローカルのマシンに保存され、ZillaSoftのサーバーに送信されることはありません。当社のAPIに届くのは、アカウント、サブスクリプション、およびお客様が送信するフィードバックのデータのみです。クラウド同期はTrial、PremiumおよびEnterpriseプランに含まれており、デフォルトで有効です。同期されたデータはデバイスを離れる前にエンドツーエンドで暗号化されます。
アカウントの完全削除
ユーザーはいつでもダッシュボードから直接アカウントを完全に削除できます。削除はすべての稼働中システムに連鎖します：サブスクリプションがキャンセルされ、保存されたすべてのデータがデータベースから削除され、認証プロバイダーからIDレコードが削除されます。暗号化された毎晩のバックアップ内のコピーは、通常のバックアップローテーションのスケジュールに従って期限切れとなり消去されます。
広告やクロスサイトトラッキングなし
ZillaSoftウェブサイトは広告、クロスサイトトラッキング、フィンガープリンティングのスクリプトを一切実行しません。読み込む第三者サービスは、Cloudflare Web Analytics（Cookieなし、プロファイリングなし）、エラーおよびパフォーマンス監視のためのSentry（EUでホスト）、Cloudflare Turnstile（フォームのボット対策）、Stripe（ストアページの決済）に限られます。フォントはセルフホストされているため、Google Fontsや類似サービスへのリクエストは発生しません。
キーロギングは一切なし
Snipzillaは入力中に設定されたトリガー文字を検出するためにグローバルキーボードフックを必要とします。このメカニズムはキーロガーが使用するものと同じであるため、明確にお伝えします：Snipzillaはトリガーとなるキーのみをウォッチします。キーストロークは記録、保存、送信、共有されません。フックは展開トリガーを検出する目的のみに存在し、それ以外には使用されません。
エンドツーエンド暗号化同期
クラウド同期されたデータはAES-256-GCMを使用してエンドツーエンドで暗号化されます。暗号化と復号化はすべてデバイス上で行われます。サーバーは読み取れない暗号文のみを保存します。最初の同期時にリカバリーコードが生成されます。新しいデバイスでアクセスを復元するために保存してください。すべてのデータはHTTPSによって転送中も保護されています。
アプリ連携はローカルのみ
SnipzillaとStashzillaは、お使いのデバイス上のローカルなループバック接続（127.0.0.1）を通じてのみ、しかもあなたが操作したとき（例：クリップを選ぶ、スニペットとして保存する）だけ相互に通信します。やり取りされるクリップボードの項目やスニペットはお使いのマシンにとどまり、この連携を通じてZillaSoftに送信されることはありません。
マーケットプレイスアプリはホストプラットフォーム上で動作
Jira、Zendesk、Freshdesk向けのSnipzilla Templatesアプリは、ホストプラットフォーム自身のアプリインフラ上、お客様のアカウント内で完全に動作します。外部ネットワーク通信を一切行わないため（ゼロエグレス）、お客様のテンプレートや課題・チケットのデータがそのプラットフォームから外に出たり、ZillaSoftに届いたりすることはありません。各アプリは必要最小限のスコープのみを要求し、個人用ライブラリは、プラットフォームがアクセスルールを強制する場合、作成した担当者だけが読み取れます。また、すべての操作はサインインしたユーザー自身の権限で実行されます。当社が今後リリースするマーケットプレイスアプリにも同じことが当てはまります。
ブラウザ拡張機能も設計段階からプライベート
Chrome、Edge、Firefox向けのSnipzillaブラウザ拡張機能は、スニペットライブラリをブラウザの拡張機能ストレージに保存し、入力中のページで入力されたショートカットのみを監視します。ショートカットが一致するまで何も記録されず、ページの外に出るのは一致したショートカットの名前だけです。クリップボードが読み取られるのは、展開するスニペットがクリップボードのプレースホルダーを使用する場合のみです。クラウド同期はデスクトップアプリと同じエンドツーエンド暗号化を使用し、無料プランではすべてがブラウザ内に保持されます。
責任ある開示
セキュリティ上の問題を発見しましたか？お知らせください。公開開示の前に、プライベートで脆弱性を報告してください。
セキュリティ研究者向けの標準フォーマットで連絡先情報を掲載した security.txt ファイルが /.well-known/security.txt で参照できます。
報告方法
セキュアお問い合わせフォーム（件名に「セキュリティ」を選択）でレポートを送信してください。レポートはプライベートチャンネルに転送され、公開されることはありません。
2営業日以内にレポートの受領を確認し、深刻度に応じて30日以内に修正または緩和策を提供することをお約束します。
公開開示の前に問題を解決する時間をください。責任ある開示の実践に従う研究者は、適切にクレジットされます。
メールをご希望の場合はsecurity@zillasoft.ioに直接ご連絡いただくこともできます。どちらのチャンネルも同じプライベートセキュリティメールボックスに届きます。
今後の計画
macOSサポート
SnipzillaはWindowsとLinuxをサポートしています。macOSサポートはロードマップに含まれており、コード署名とプラットフォーム認証の要件が整った後にリリースされます。
サードパーティによるアクセシビリティ監査
ZillaSoftの全製品およびウェブプロパティにおけるアクセシビリティへの取り組みを正式に検証するため、WCAG 2.1レベルAAに準拠した独立した監査が計画されています。
このページの変更
セキュリティプラクティスは時間の経過とともに更新される場合があります。
関連ポリシー
最終確認: 2026年8月22日