WheelOfSpinsのアカウントと保存されたルーレットデータを守るために採用しているアプリケーションおよび運用面の対策について説明します。
WheelOfSpinsのアカウントと保存されたルーレットデータを守るために採用しているアプリケーションおよび運用面の対策について説明します。
WheelOfSpinsでは、すべての通信をHTTPS(TLS 1.3)で暗号化しており、通信経路上でのデータの盗聴や改ざんを防いでいます。あわせてHSTS、CSP(コンテンツセキュリティポリシー)、X-Frame-Options、X-Content-Type-Optionsといったセキュリティヘッダーを設定し、なりすましサイトへの誘導やクリックジャッキングなどの攻撃を防止しています。また、ルーレットの抽選結果はブラウザに標準搭載されたWeb Crypto API(crypto.getRandomValues)を利用して端末内で生成しており、暗号学的に安全な乱数によって、サーバー側で結果を操作したり偏らせたりすることができない仕組みになっています。
ログイン認証には暗号化されたJWT(JSON Web Token)を使用しており、セッション情報が第三者に読み取られたり改ざんされたりしないよう保護しています。保存されたルーレットのレコードは、データベース側の行レベルアクセス制御(row-level access control)によって所有者のアカウントのみに紐づけられ、他のユーザーが直接アクセスすることはできません。公開共有リンクを発行した場合も、公開される内容は意図したルーレットのスナップショットのみに限定され、アカウントの他の情報が露出することはありません。
本番環境へのアクセスは、実際に業務上の必要がある担当者のみに限定しています。ファイアウォールによる保護、認証ログ、デプロイログを記録し、定期的なアクセス権の棚卸しを行うことで、不要になった権限を早期に解消しています。これらの運用ログを継続的に確認することで、不審なアクセスや異常な挙動を早期に発見し、必要に応じてインシデント対応の手順に沿って対処します。
アカウントのパスワードは他のサービスと使い回さず、推測されにくいものを設定することをおすすめします。公開リンクは信頼できる相手とだけ共有し、共有デバイスを利用した際はログアウトを徹底してください。セキュリティ上の脆弱性を発見された場合は、security@wheelofspins.com までご連絡ください。再現手順を添えてご報告いただくことで、迅速な調査と対応が可能になります。
はい。本番環境ではすべての通信をHTTPS(TLS 1.3)で暗号化するとともに、HSTSやCSPなどのセキュリティヘッダーを設定し、通信経路上での盗聴や改ざん、なりすましを防いでいます。
非公開のルーレットはデータベースの行レベルアクセス制御によって所有者のアカウントのみに限定されており、他のユーザーが直接アクセスすることはできません。公開共有した場合のみ、発行したリンクを知る第三者が閲覧できます。
問い合わせページから状況をできるだけ詳しくご報告ください。認証ログやデプロイログをもとに状況を確認し、必要に応じてインシデント対応の手順に沿って速やかに対処します。
認証情報はハッシュ化して保管し、ログイン認証には暗号化されたJWTを使用しています。パスワードが平文のままサーバーに保存されることはありません。
はい。認証ログやデプロイログを定期的に見直すとともに、アクセス権の棚卸しやセキュリティヘッダーの設定確認を継続的に行い、必要な改善を重ねています。
できません。抽選にはブラウザ標準のWeb Crypto API(crypto.getRandomValues)による暗号学的に安全な乱数を使用しており、結果は利用者の端末内で生成されます。サーバー側が結果を先読みしたり操作したりすることはできない設計になっています。
security@wheelofspins.com までご連絡ください。問題を再現する手順を添えていただくと、調査と対応をより迅速に進めることができます。