WITHMIA v1.2.0 — 会話を守る、企業水準のセキュリティ

企業がお客様との会話をWITHMIAに任せるとき、私たちは非常に価値のあるものを預かります。その会社のデータと、そこに関わる人々のデータです。v1.2.0は、この領域における私たちの最も重要なリリースです。プラットフォーム全体に対して包括的なセキュリティ監査を行い、データベースからブラウザまで、あらゆる層を強化しました。

これはひとつの機能ではありません。信頼への横断的な投資です。

チェックリストではなく、本気の監査

マルチテナントSaaSで重要となる攻撃面に対して、プラットフォーム全体を見直しました。企業間のアクセス制御、認証、インジェクション、XSS、SSRF、Webhook、シークレット、ヘッダー、レート制限、依存関係、インフラ。

すべての指摘は敵対的検証を通過しました。何かを事実と認める前に、それを反証しようと試みたのです。誤検知に時間を使わず、本当に重要なものだけを直すためです。確認できたものは修正し、深刻なものから先に手を付けました。

強化した点

🔐 保存時の認証情報の暗号化。 連携先の機微な認証情報はデータベース上で暗号化され、平文では保存されません。万一漏れても、鍵がなければ使えません。

💳 決済の防護。 決済経路全体でTLS証明書の検証を復活させ、課金Webhookを偽造できないものにしました。すべての支払い通知は、サブスクリプションを有効化する前に権威ある提供元に照会して検証されます。支払っていないプランが有効になることはありません。

🛡️ Web攻撃への防御。 SSRF(サーバー側への強制リクエスト)、保存型XSS(SVGなど危険なアップロードの拒否)、クリックジャッキングへの防御を強化しました。最新のセキュリティヘッダー(X-Frame-Options、Referrer-Policy、HSTS)をすべてのレスポンスに付与しています。

🔑 シークレットの全面ローテーション。 プラットフォーム内部の鍵とパスワードをすべて入れ替え、サービスごとに動作を確認しました。あなたの運用に中断はありません。

🚦 制限とトレーサビリティ。 機微なエンドポイントのレート制限を調整して自動化された悪用を抑え、不審なパターンを早期に検知するためのアクセスメタデータの記録を始めました。

🧹 プライバシーの衛生管理。 個人データ(メッセージ、電話番号)をログに記録することをやめ、エラー応答から機微な情報の痕跡を排除しました。

実在する人だけを

安全なプラットフォームとは、向こう側にいるのがボットではなく人であることも意味します。今回のリリースでは、登録時に2つの防御を追加しました。

🤖 目に見えないボット対策キャプチャ。 ログインに最新のキャプチャ(Cloudflare Turnstile)を組み込みました。ボットによる自動登録を止めつつ、実在の人には手間をかけません。ほとんどの方は存在に気づかないはずです。

📞 国ごとの、実在する電話番号。 すべての電話番号を、その国の実際の番号計画(Googleのライブラリlibphonenumber)に照らして検証するようになりました。桁数だけ合っている架空の番号はもう通りません。存在しなければ拒否されます。あなたにとってはデータがきれいになり、偽の登録に対する壁がもう一枚増えます。チリでも、アルゼンチンでも、ペルーでも、お客様がどこにいても同じです。

透明性と安全性を同時に

セキュリティとは、プラットフォームの仕組みを隠すことではありません。各層がそれ自体で持ちこたえることです。今回のリリースでは、インフラ全体の設定も引き締めました。内部サービスはネットワークに露出せず、各コンポーネントで認証が必須になっています。

これからの予定

セキュリティは到達点ではなく、習慣です。次の層にはすでに着手しています。セッション管理の再設計(暗号化と有効期限を持つトークン)、依存関係の継続的な更新、そしてブラウザ側のさらに厳格なコンテンツポリシー。今後のバージョンで順次公開していきます。

会社を経営していて、データの安全が優先事項であるなら——そうであるべきです——v1.2.0は、安心してWITHMIAを試す十分な理由になります。

**データの保護について知りたいことがあれば、**ぜひご連絡ください。喜んで詳しくご説明します。