セキュリティ
Unveily SDKとプラットフォームはセキュリティをデフォルトとして構築されています。 以下の保護措置は追加設定なしに自動的に適用されます。
SDKセキュリティ
ライセンスキーの暗号化ストレージ
初回起動時に、ライセンスキーはハードウェアバックの安全なストレージに自動移行されます。 AndroidはAndroidKeyStoreベースのEncryptedSharedPreferences（AES256-GCM）、 iOSはiOS Keychainを使用します。 2回目以降の起動では、ファイルシステムを経由せずに暗号化ストレージから直接読み込まれます。
SSL証明書ピンニング
すべての内部SDK API通信にSHA-256証明書ピンが適用されます。 コンパイル済みバイナリ内のピン値はフィールドごとに異なるキーでエンコードされており、 平文文字列として見えることはありません。
ルート / ジェイルブレイク検出
ルート化（Android）またはジェイルブレイク（iOS）されたデバイスではSDKの実行がブロックされます。config.jsonのsecurity.rootDetectionEnabledで制御します。
スクリーンショット・バックグラウンド保護
アプリ内での画面キャプチャおよび録画がブロックされます。 アプリスイッチャーでコンテンツが表示されないようにブラー処理されます。 金融・医療・決済アプリに推奨します。
アプリ署名検証
ライセンスはパッケージ名と署名証明書ハッシュの組み合わせで検証されます。 リパッケージまたは署名が改ざんされたアプリは検証を通過しません。
APIおよびインフラのセキュリティ
| 項目 | 内容 |
|---|---|
| 認証 | JWT（短期有効期限） |
| シークレット管理 | GCP Secret Manager — ソースコードへの平文保存禁止 |
| 通信 | 全エンドポイントにHTTPS強制 |
| レート制限 | 認証エンドポイントに適用 |
| サーバー | GCP Cloud Run — 永続サーバーなし |
| データベース | Cloud SQL、プライベートIP（パブリックインターネット接続不可） |
| ファイル配信 | GCSプライベートバケット、署名付きURL（15分で失効） |
依存関係の脆弱性管理
GitHub Dependabotを通じて、すべてのリポジトリの依存関係を毎週自動スキャンします。 Critical CVEは公開後72時間以内にパッチを適用します。 また、主要リリースの前後で定期的なセキュリティ点検を実施し、その結果を以下に公開します。
定期セキュリティ点検の記録
- 2026-08-08 — .NET・npm の依存関係全体を点検。 Microsoft.OpenApi の推移的脆弱性（High, GHSA-v5pm-xwqc-g5wc）を発見し、2.7.5 にパッチ。 点検後、既知の脆弱性 0件。
- 2026-06-13 — .NET・npm の依存関係全体を点検。既知の脆弱性 0件。
脆弱性の報告
セキュリティの脆弱性を発見された場合は、公開Issueではなく 以下のアドレスへ非公開でご報告ください。
報告受領後48時間以内に確認のご連絡をし、 7営業日以内に解決スケジュールをお知らせします。 善意のセキュリティ研究者に対して法的措置を取ることはありません。