セキュリティチェックリスト

大切なファイルを預けていただくために、座席管理セキレイのセキュリティへの取り組みを、当社のすべてのサービスに共通の質問項目で点検した結果をお知らせします。

点検は、運営が行うだけでなく、AIにも、コードと文書を確認させ、その結果を運営が確認して掲載しています。第三者による監査・認証ではなく、当社の自己評価です。

このページの「管理者」は、運営(サービスを提供する当社)ではなく、スペースを使う会社・チームの側で、メンバーや設定を管理する人を指します。サーバーの管理者は、「運営側」と書いています。

当社基準：標準的な水準

対応済み割合

36%

該当する50項目のうち18項目に対応

重要項目

7 / 18対応

◯ 対応済み 18項目
△ 一部対応 6項目
✗ 未対応 6項目
？未確認 20項目
－該当しない 2項目

評価日：2026年11月1日

当社共通のセキュリティチェックリストに基づく自己評価です。第三者認証や安全性の保証を示す数値ではありません。

全体評価の基準・評価の方法

基本的な対策 (30%未満): 基本的な対策から整備している段階です。
標準的な水準 (30%以上55%未満): 多くの小規模・中規模のサービスに近い水準です。
高い水準 (55%以上80%未満): 法人向けに、しっかり整備されたサービスに近い水準です。
非常に高い水準 (80%以上): 法人向けに、高度な対策まで整えた、特に厳格なサービスに近い水準です。

全体評価は、対応している項目の数 ÷ 該当する項目の数（「該当しない」を除く）の小数点以下を切り捨てて判定しています（現在36%）。サマリーの対応済み割合は、全項目を分母にして四捨五入しています。「対応していない」の項目が1つでもあると未対応、という意味ではありません。水準の区切りと説明は、運営が独自に定めた目安で、業界の統計ではありません。

評価の方法: AI(Claude Code)を使って、セキレイのコードと文書を、全サービス共通の質問項目に沿って点検しました。その結果を、運営が確認して掲載します。本番環境には、読み取りだけの外部アクセスで確認できた範囲を反映しています。外部から確認できない本番環境の設定は、確認できるまで「？」としています。公開デモは対象に含みません。運営による自己評価であり、第三者による認証や診断ではありません。

一部対応・対応していない項目は、優先度を見て、改善を検討します。対応しない項目は、備考に理由を書いています。

確認中・未定の項目は、確認・決定でき次第、結果に更新します。

結果で絞り込む

データの保護

質問内容	結果	備考
重要通信は暗号化(HTTPS)されていますか	◯	通信はHTTPS(TLS 1.3)で暗号化しています。
重要保存したファイルは暗号化されていますか	？	画像ファイルの保存先の暗号化の状況を確認中です。確認できるまでは、機微な内容を含む画像のアップロードはお控えください。
重要データベースやサーバーのディスクは暗号化されていますか	✗	本番サーバーのディスクは、現在は暗号化していません。暗号化したディスクへの移行を予定しています(時期は未定です)。
重要他のお客様のデータが見えないよう分けて管理していますか	◯	データはスペース(会社)単位で分けて管理し、権限のあるメンバーだけが見られます。他のスペースのデータは取得できません。
重要ファイルの取得に、権限の確認と有効期限がありますか	✗	画像の取得時の、権限と有効期限の確認は、一部の画像で行っていません。改善を進めています。機微な内容を含む画像のアップロードは、改善までお控えください。
重要保存先のストレージ(バケット)は、インターネットに公開されていませんか	？	画像の保存先が、インターネットに公開されていないかを確認中です。
お客様が登録した保存先の接続情報(キー)は、安全に保管されていますか	－	このサービスには、お客様が保存先の接続情報を登録する機能がないため、該当しません。

アカウントと認証

質問内容	結果	備考
重要パスワードは、元の文字列が分からない形で保存されますか	◯	パスワードは、元の文字列が分からない形で保存します。運営者もパスワードそのものは見られません。
推測されやすいパスワードを設定できないようにしていますか	◯	よくあるパスワード、メールアドレスと同じもの、同じ文字の繰り返しは、設定できません。
重要ログインの試行回数を制限していますか	◯	ログインを何度も間違えると、一定時間ログインできなくなります。
パスワードを変更すると、他の端末のログインが終了しますか	◯	パスワードを変更すると、他の端末のログイン状態は無効になります。
パスワードの再設定やメール確認の仕組みは、期限付きで、一度きりしか使えませんか	◯	メール確認やパスワード再設定のコードには期限があり、一度使うと再利用できません。
ログイン状態を保つ情報(Cookie)は、他人に読み取られにくい設定ですか	？	ログインするたびに、ログイン状態を保つ情報を新しくしています。その情報の読み取り対策の設定は確認中です。共用のパソコンでは、使い終わったらログアウトしてください。
多要素認証(2段階認証)を提供していますか	△	パスキー(端末のロック解除でログインする方法)を、任意で登録して使えます。スペース全体で多要素認証を必須にする設定は、現在は提供していません。Google・Microsoftでログインする場合は、各社側の2段階認証のご利用もおすすめします。
シングルサインオン(SSO)に対応していますか	△	Google・Microsoftのアカウントでのログインに対応しています。SAMLなど、お客様の会社のIDで入る、その他の認証基盤には対応していません。
お客様側の管理者が、メンバーのログインを強制的に終了できますか	－	このサービスでは、1人のユーザーが複数の会社(スペース)に参加できます。そのため、あるスペースの管理者が、メンバーのアカウント自体のログインを終了させる機能は、他のスペースへの影響を避けるため、設けていません(該当しません)。スペースの管理者は、メンバーをスペースから外したり、トークンを削除したりして、そのスペースへのアクセスを止められます。
運営から送るメールは、なりすまし対策(SPF・DKIM・DMARC)をしていますか	？	運営から送るメールの、送信元のなりすまし対策(SPF・DKIM・DMARC)の設定状況を確認中です。不審なメールのリンクは開かず、サービスのアドレスから直接開いてください。
ログアウトすると、それまでのログイン状態は無効になりますか	◯	ログアウトすると、そのログイン状態は無効になり、再び利用するにはログインが必要です。別の端末のログイン状態は終了しません。

アクセス制御

質問内容	結果	備考
重要権限を役割ごと(閲覧のみ・更新・管理)に分けられますか	？	閲覧のみ・更新・管理の権限を分ける機能があります。権限をサーバー側で判定していることの確認を進めています。
重要メンバーや設定の管理を、お客様側の管理者(スペースの管理者)だけに限っていますか	△	スペースの管理者だけが、アクセストークンの発行や許可IPの設定を行えます。そのほかの管理操作を含む、すべての制限の確認を進めています。
利用できる接続元のIPアドレスを制限できますか	◯	スペースごとに、利用できる接続元のIPアドレスを設定できます。ブラウザからの利用とAPIの両方に適用され、許可には有効期限を付けられます。公開デモには適用しません。
外部ツール用のアクセストークンに、権限と有効期限がありますか	◯	アクセストークンは、読み取り専用または更新可能の権限を選べ、対象のスペースに限って使えます。有効期限を設定でき、再発行や削除で無効にできます。
メンバーの招待を、安全に行えますか	？	スペースへの招待を、安全に行えることの確認を進めています。
退職者などのアクセスを、すぐに止められますか	◯	スペースの管理者は、メンバーをスペースから外したり、発行したアクセストークンを削除したりして、そのアクセスを止められます。
重要ログインしていない人は、データを取得・更新できませんか	△	ログインが必要なAPIは、ログインしていない人のアクセスを拒否します。ただし、一部の画像は、例外として、ログインなしで取得できる作りになっています(改善を進めています)。

アプリケーションの安全性

質問内容	結果	備考
不正なアクセス・攻撃を、WAFなどで減らしていますか	△	Cloudflareを経由して提供しており、大量のリクエストによる攻撃などへの基本的な防御が働きます。WAFのルールの設定や、サーバーへの直接アクセスの遮断については、確認中です。
大量のリクエストによる攻撃や過負荷を制限していますか	◯	大量のリクエストによる攻撃や過負荷を、接続元ごと・ログイン後はユーザーごとに制限しています。
入力された内容(必須項目・形式・長さなど)の基本的な検証をしていますか	？	入力内容の基本的な検証の範囲を確認中です。
重要 SQLインジェクション(不正なSQLの実行)への対策をしていますか	？	SQLインジェクションへの対策の確認を進めています。
重要 XSS(不正なスクリプトの混入)への対策をしていますか	？	XSSへの対策の確認を進めています。
重要 CSRF(なりすましによる不正な操作の送信)への対策をしていますか	◯	別のサイトから送られた不正な更新の要求は、受け付けません。
エラー時に、内部の情報を画面に表示しませんか	△	本番環境では、エラーのときに、サーバーの設定やプログラムの内容を画面に表示しない作りにしています。ただし、一部の画面では、エラーの内容がそのまま表示される場合があります。改善を進めます。

ファイルの安全

質問内容	結果	備考
危険なファイル形式(実行ファイルなど)のアップロードを禁止していますか	◯	アップロードできるのは画像(PNG・JPEG・GIF・WebP)だけで、拡張子ではなく、ファイルの中身で判定します。それ以外のファイルは受け付けません。
アップロードされたファイルのウイルス検査をしていますか	✗	アップロードされたファイルのウイルス検査は、行っていません。アップロードできるのは画像に限り、中身を確認しています。検査を導入するかは、必要性を見て検討します。
誤って削除したファイルを、復旧できますか	✗	削除した画像などのファイルを、元に戻す機能は提供していません。必要なファイルは、お手元にも保管してください。なお、退職した従業員は、管理者が一覧から復活できます。
元のファイルを、変更せずに保管していますか	？	アップロードした画像を、変更せずに保管しているかを確認中です。

ログと監視

質問内容	結果	備考
重要重要な操作の記録(ログ)を残していますか	◯	拒否されたアクセス、ログインの失敗、スペースのメンバー・アクセストークン・許可IPなど重要な設定の変更を記録しています。
パスワードやアクセストークンなどの認証情報の原文を、ログに記録していませんか	◯	パスワードやアクセストークンなどの認証情報の原文は、ログに記録しません。
お客様側の管理者(スペースの管理者)が、メンバーの重要な操作(権限の変更・トークンの発行・招待など)の履歴を、画面で確認できますか	✗	スペースの管理者が、画面でメンバーの操作履歴を確認する機能は、現在は提供していません。操作の記録は運営側で残しています。画面での提供は、需要を見て検討します。
本番環境のエラー(例外)を、運営が自動で検知できますか	？	本番環境のエラーを運営へ自動で通知する仕組みはありますが、本番での稼働の確認中です。
サイトの停止やサーバーの異常を、運営が自動で検知できますか	？	サイトの停止やサーバーの異常を、運営が自動で検知する仕組みの導入状況を確認中です。

バックアップと事業継続

質問内容	結果	備考
重要データベースを、定期的にバックアップしていますか	？	データベースをバックアップする仕組みはありますが、本番での定期的な取得の確認中です。
バックアップから復旧できることを、実際に試して確認していますか	？	バックアップから復旧できることの確認は、これから行います。
ファイル本体は、保存先の故障に備えて、冗長に保存されていますか	？	画像ファイルの保存先が、機器の故障に備えて冗長に保存されているかを確認中です。
バックアップは、サービス本体とは別の場所に保存されていますか	？	バックアップを、サービス本体とは別の外部ストレージへ保存する仕組みはありますが、本番での確認中です。

運用と体制

質問内容	結果	備考
OS・ライブラリの脆弱性を、継続して確認していますか	✗	依存ライブラリの既知の脆弱性を検査しており、修正が必要なものを検出しています。更新と再検証を進めています。サーバーのOS・コンテナの検査と更新の運用は確認中です。
本番環境への運営側の管理者のアクセスを、限定していますか	？	本番サーバーへの運営側の管理者のアクセスを限定する対策の確認中です。
重要データベースなどの内部のサーバーに、インターネットから直接つなげませんか	？	データベースなどの内部のサーバーに、インターネットから直接つなげないことの確認中です。
重要アクセストークンなどの認証情報を、元の値が分からない形で保存していますか	◯	アクセストークンは、元の値が分からない形で保存します。
鍵やパスワードなどの秘密情報を、ソースコードに含めず、安全に管理していますか	？	秘密情報(鍵やパスワードなど)の保管・権限・更新の運用を確認中です。
情報漏えいなどのセキュリティ事故が起きたとき、お客様へ連絡する方針がありますか	？	情報漏えいなどのセキュリティ事故が起きたときの、お客様への連絡の方針と手順を整備中です。
脆弱性を見つけた人が、報告できる窓口がありますか	◯	脆弱性や不審な点は、運営サイト(buffria.com)のお問い合わせフォームからお知らせください。

正直なお知らせ

どのような対策をしても、リスクをゼロにすることはできません。このページは、100%の安全をお約束するものではありません。座席管理セキレイは、対策の点検と見直しを続けています。

気になる点や、不審な動作を見つけたときは、ログインしたあとに、画面の「フィードバック」や「お問い合わせ」からお知らせください。