セキュリティ
Unveily SDKとプラットフォームはセキュリティをデフォルトとして構築されています。 以下の保護措置は追加設定なしに自動的に適用されます。
SDKセキュリティ
ライセンスキーの暗号化ストレージ
初回起動時に、ライセンスキーはハードウェアバックの安全なストレージに自動移行されます。 AndroidはAndroidKeyStoreベースのEncryptedSharedPreferences（AES256-GCM）、 iOSはiOS Keychainを使用します。 2回目以降の起動では、ファイルシステムを経由せずに暗号化ストレージから直接読み込まれます。
SSL証明書ピンニング
すべての内部SDK API通信にSHA-256証明書ピンが適用されます。 コンパイル済みバイナリ内のピン値はフィールドごとに異なるキーでエンコードされており、 平文文字列として見えることはありません。
ルート / ジェイルブレイク検出
ルート化（Android）またはジェイルブレイク（iOS）されたデバイスではSDKの実行がブロックされます。config.jsonのsecurity.rootDetectionEnabledで制御します。
スクリーンショット・バックグラウンド保護
アプリ内での画面キャプチャおよび録画がブロックされます。 アプリスイッチャーでコンテンツが表示されないようにブラー処理されます。 金融・医療・決済アプリに推奨します。
アプリ署名検証
ライセンスはパッケージ名と署名証明書ハッシュの組み合わせで検証されます。 リパッケージまたは署名が改ざんされたアプリは検証を通過しません。
APIおよびインフラのセキュリティ
| 項目 | 内容 |
|---|---|
| 認証 | JWT（短期有効期限） |
| シークレット管理 | GCP Secret Manager — ソースコードへの平文保存禁止 |
| 通信 | 全エンドポイントにHTTPS強制 |
| レート制限 | 認証エンドポイントに適用 |
| サーバー | GCP Cloud Run — 永続サーバーなし |
| データベース | Cloud SQL、プライベートIP（パブリックインターネット接続不可） |
| ファイル配信 | GCSプライベートバケット、署名付きURL（15分で失効） |
依存関係の脆弱性管理
GitHub Dependabotを通じて、すべてのリポジトリの依存関係を毎週自動スキャンします。 Critical CVEは公開後72時間以内にパッチを適用します。 また、主要リリースの前後で定期的なセキュリティ点検を実施し、その結果を以下に公開します。
定期セキュリティ点検の記録
- 2026-09-01 — 自社によるコードセキュリティ点検。 プラットフォーム API・ウェブ全体の認証・認可、Webhook 署名検証、アプリ内課金の検証、 入力検証、シークレット管理、レート制限、セキュリティヘッダーを点検しました。確認された項目について、 シークレット管理の一元化、二段階認証の強化、アプリ内課金検証条件の補強、レート制限・ウェブ セキュリティヘッダーの導入を行いました。SQL インジェクション、ユーザー間のデータアクセス（IDOR）、 オープンリダイレクトについては問題は確認されませんでした。
- 2026-09-01 — .NET・npm の依存関係全体を点検。 ウェブアプリで nanoid（High）、内部ツールで brace-expansion・protobufjs（High）の脆弱性を発見し、最新バージョンにパッチ。 点検後、既知の脆弱性 0件。
- 2026-08-08 — .NET・npm の依存関係全体を点検。 Microsoft.OpenApi の推移的脆弱性（High, GHSA-v5pm-xwqc-g5wc）を発見し、2.7.5 にパッチ。 点検後、既知の脆弱性 0件。
- 2026-06-13 — .NET・npm の依存関係全体を点検。既知の脆弱性 0件。
脆弱性の報告
セキュリティの脆弱性を発見された場合は、公開Issueではなく 以下のアドレスへ非公開でご報告ください。
報告受領後48時間以内に確認のご連絡をし、 7営業日以内に解決スケジュールをお知らせします。 善意のセキュリティ研究者に対して法的措置を取ることはありません。