セキュリティ
Avonao IDがサインイン、セッション、お客様のデータをどのように保護しているか、そして脆弱性の報告方法をご紹介します。
保護の対象#
Avonao IDは、Avonaoのプラットフォームや「Avonao IDでサインイン」を提供するアプリへのサインインの背後にあるアカウントです。次の3点が常に成り立つ必要があります。ほかの誰もあなたのアカウントに入れないこと、アプリは許可した情報だけを受け取ること、そして個人データは選択したリージョンにとどまることです。
| 領域 | 私たちの対応 |
|---|---|
| サインイン | パスキー(ユーザー検証が必須)、メールのリンクまたはコード、Google・Microsoft・GitHubによるソーシャルサインイン。パスワードは存在しないため保存されません。メールのリンクとコードは1回限りで、10分で失効し、コードの入力は最大5回までです。 |
| 2段階目 | 認証アプリ(TOTP)による任意の2段階サインイン(再利用対策付き)と、ハッシュとしてのみ保存され1度だけ表示される使い捨てのリカバリーコード。アプリは重要な操作の前に、より強いサインインを求めることができます(ステップアップ)。 |
| Guard名と緊急キット | サインインリンクは、メールアドレスとGuard名の両方が正しい場合にのみ送信されます。そのため、乗っ取られたメールボックスだけでは足りません。緊急キットにはリカバリーキーが含まれます。 |
| セッション | セッションCookieには__Host-プレフィックスが付き、、、です。セッションは14日間使われないと終了し、遅くとも90日で終了します。セッションの一覧を確認し、いつでも終了できます。アカウントの重要な変更には、直近10分以内の再確認が必要です。 |

