> ## Documentation Index
> Fetch the complete documentation index at: https://docs.hostlinku.com/llms.txt
> Use this file to discover all available pages before exploring further.

# セキュリティ

> Hostlinkuのセキュリティ対策：暗号化、認証、APIキーの管理、データの隔離、監査ログ、インシデント対応、および脆弱性の報告方法。

機械翻訳について

このページは機械翻訳です。正式な内容はインドネシア語版を参照してください。

[インドネシア語版を読む](https://docs.hostlinku.com/legals/security.md)

**最終更新日：** 2026年10月11日。

## 1. 暗号化と機密情報の保存

* サイト、コンソール、およびAPIへのすべてのトラフィックは、HTTPS（TLS）を介して処理されます。
* パスワードはbcryptハッシュとして保存され、元の形式で保存されることは決してありません。
* 顧客のAPIキーは、SHA-256ハッシュとして保存されます。
* アップストリームプロバイダーの鍵やSSOのシークレットなどの統合用認証情報は、データベースとは別に保存された鍵を使用して、AES-256-GCMによりアプリケーションレベルで暗号化されます。

## 2. アカウントの認証

* 有効期限が短いOTPコードによるメール認証。
* SSO（Google、GitHub、Discordなど）によるログインオプションが有効になっている場合。
* `HttpOnly`、`Secure`、および`SameSite=Lax`という識別子を持つセッションクッキーの有効期間は、最長7日間です。
* ログイン、登録、OTPの試行回数制限、および公開フォームにおけるCloudflare Turnstile。
* 停止されたアカウントは、ログインもAPIの利用もできません。

二要素認証はまだ利用できません。この機能の提供が開始され次第、このページを更新いたします。

## 3. APIキーの取り扱い

* Keyは作成時に一度だけ完全に表示され、再度表示することはできません。
* キーの適用範囲、有効期間、およびクレジット上限を設定できるほか、コンソールからいつでも無効化することができます。
* リクエストのログ本文に含まれる認証情報は、保存される前に `[redacted]` に置き換えられます。
* アップストリームプロバイダーの識別情報およびアップストリームの認証情報は、顧客に送信されることはありません。

## 4. 隔離とアクセス制御

* データリクエスト、ログ、残高、およびAPIキーはアカウントごとに分離されており、ユーザーは自身のデータにのみアクセスできます。
* 管理者機能は「管理者」ロールに限定されており、ボディロギングの有効化や残高の調整など、機密性の高い設定の変更はすべて監査ログに記録されます。
* リクエストおよびレスポンスの内容は、デフォルトでは保存されません。ボディのロギングが有効になっている場合、その内容は保持期間に応じて自動的に削除されます。[プライバシーポリシー](https://docs.hostlinku.com/ja/legals/privacy-policy.md)をご参照ください。

## 5. サービスの保護

* ボットやボリューム型攻撃を軽減するため、パブリックトラフィックはCloudflareを経由します。
* [利用ポリシー](https://docs.hostlinku.com/ja/legals/acceptable-use-policy.md)に記載されているとおり、APIキーごとおよびIPアドレスごとのレート制限が適用されます。
* リクエストが転送される前に残高を予約しておくことで、利用可能残高を大幅に超える利用を防ぐことができます。
* モデルおよびアップストリームの健全性モニタリング結果は、[ステータス](https://status.hostlinku.com)ページで公開されています。

## 6. 監査ログ

当社は、ログイン、ログアウト、登録、APIキーの作成および無効化、設定の変更といったセキュリティ関連のイベントを、日時、IPアドレス、ユーザーエージェントとともに記録しています。機密情報は一切記録されません。

## 7. 共同責任

Catatan

アカウントのセキュリティは、あなた自身にもかかっています：

* 強固でユニークなパスワードを使用してください；
* APIキーはサーバー側に保存し、フロントエンドのコードやリポジトリには保存しないでください；
* アプリケーションや環境ごとに個別のキーを使用し、クレジットの上限を設定し、使用されていないキーを無効化してください；
* コンソールでログと取引履歴を監視し、不自然な利用を検知します。

## 8. インシデントへの対応

セキュリティインシデントが発生した場合、当社は特定、封じ込め、復旧、および評価を行います。インシデントにより個人情報の保護に不備が生じた場合は、個人情報保護法（PDP法）の規定に基づき、影響を受けたユーザーおよび当局に通知します。APIキーの漏洩を検知した場合は、当該キーを無効化し、所有者に通知します。

## 9. 脆弱性の報告

[halo@hostlinku.com](mailto:halo@hostlinku.com) 宛てに、問題の説明、再現手順、および確認された影響を記載したレポートをお送りください。5営業日以内に受領確認の連絡をいたします。

安全にテストを行うために：

* テストは、ご自身のアカウントとデータのみで行ってください；
* 他のユーザーのデータにアクセスしたり、変更したり、削除したりしないでください；
* スタッフやユーザーに対して、サービス拒否攻撃、スパム、ソーシャルエンジニアリングを行わないでください；
* 調査結果を公表する前に、是正するための妥当な期間をください。

善意に基づき、本ガイドラインに従って報告を行った研究者に対しては、法的措置を講じることはありません。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.