okdocの文書および署名の取り扱いにはセキュリティが組み込まれています。本ページでは現在実施している具体的な対策を説明します。外部認証を主張するものではなく、記載内容はシステムの実際の動作を反映しています。
okdocへのすべての通信はTLSを用いたHTTPSで提供されており、サービスはHTTP Strict Transport Security（HSTS）を送信してブラウザが暗号化チャネルでのみ接続するようにしています。
各組織のデータはPostgreSQLの行レベルセキュリティ（RLS）を用いてデータベースレベルで分離されています。クエリは操作中の組織に限定されるため、他のテナントのデータを読み取ったり変更したりすることはできません。
APIキーは平文ではなくハッシュとして保存されます。キーは作成時に一度だけ全体が表示され、その後はハッシュのみが保持されるため、データベースの読み取りで利用可能なキーが明らかになることはありません。
組織が支払いプロバイダーを接続する際、プロバイダーの認証情報は保存前にAES-256-GCMで暗号化されて保管されます。
送信されるWebhookは暗号的に署名されており、お客様のシステムはペイロードが本当にokdocから送信され、途中で改ざんされていないことを検証できます。
重要なエンドポイントは耐久性のあるレート制限で保護されており、自動化された悪用や認証情報推測の影響を軽減します。
完了したすべての文書は改ざん検知可能なPDFに封印され、完了証明書とSHA-256フィンガープリントが付与されます。さらにタイムスタンプ、IPアドレス、署名者情報の監査証跡により、後からのファイル変更を検出可能です。
okdocは、データベース、ストレージ、認証にSupabaseを、ホスティングにVercelを利用する確立されたインフラプロバイダー上で運用されており、データはEU内にホストされています。
責任ある情報開示を歓迎します。セキュリティ上の問題を発見された場合は、詳細をsecurity@okdocai.comまでメールでお送りください。できるだけ早く対応いたします。問題を公に開示する前に、対応のための合理的な時間をいただけますようお願いいたします。
okdocは現在、SOC 2、ISO 27001、HIPAA、PCIの認証を取得しておらず、本ページではそのような主張はしておりません。上記の対策は現時点での実践内容を示しており、今後改善される可能性があります。