社内アプリのための
セキュリティと運用基盤
認証、非公開の受信経路、アプリ単位の分離を標準で備えます。
これらは影響範囲を狭めますが、アプリ内部のロジックは検査しません。
アプリ実行環境とマネージドアプリDBは東京に配置。制御プレーンと一部の運用データは米国などで処理・保存される場合があります。
アプリはインターネットに直接面していません
全てのリクエストはエッジと認証ゲートウェイを通ってからアプリに届きます。非公開のアプリ実行環境は、認証ゲートウェイからの受信だけを許可します。
最終確認日: 2026-08-04
1分でわかるセキュリティ
詳細の前に押さえる5点。各対策の対象範囲と限界は、以下の各節に明記しています。
認証は必須
全てのアプリにKeelsonの認証が自動で適用されます。組織アカウントでの認証を必須にし、アプリ側に認証コードは不要です。
インターネットに非公開
非公開のアプリ実行環境は認証ゲートウェイからの受信だけを許可します。未認証のリクエストは拒否され、ゲートウェイ以外からの受信経路はありません。
アプリ分離
アプリごとにVM隔離された実行環境と、アプリ範囲に限定したデータアクセスを提供します。他アプリの非公開実行環境には直接到達できません。
データの配置
アプリ実行環境とマネージドアプリDBは東京に配置します。制御プレーンと運用データは米国その他の地域で処理・保存される場合があります。
認証の記録
全ての認証試行（成功・失敗）を、ユーザーID・時刻・送信元IP付きで記録します。認証ヘッダーはログパイプラインで自動リダクトされます。
アプリが出力するログは自動マスクされません。
標準で備える保護
全てのアプリに、以下のセキュリティ機能が自動で適用されます。アプリのコードを変更する必要はありません。
組織ログイン
組織アカウントでの認証を必須にし、社外からの無制限なアクセスを防ぎます。
アプリ分離
アプリごとにVM隔離された実行環境と、アプリ範囲に限定したデータアクセスを提供します。他アプリの非公開実行環境には直接到達できません。
アクセス制御
アプリごとにアクセスできるメンバーを制御し、IP制限で許可されたネットワークのみに限定できます。
デプロイ前検証
候補リビジョンはトラフィック切替前にヘルスチェックを通過する必要があります。失敗した候補は配信中のリビジョンを置き換えません。
監視
選択した基盤シグナルを監視します。アプリの業務メトリクスとアプリ内部のヘルス監視はお客様の責任です。
暗号化
Keelson管理の受信通信とDB接続はTLSを使用し、マネージドデータストアは基盤事業者の保存時暗号化を使用します。
多層防御の考え方
1つの対策に依存せず、認証・制限・分離を重ねてアプリを守ります。
エッジ保護
グローバルエッジがDDoS軽減、TLS終端、ルーティングを行い、その後に認証ゲートウェイへ転送します。
認証
全てのアプリにKeelsonの認証が自動で適用されます。Google / Microsoft アカウントによるSSO、アプリごとのメンバー制御。アプリ側に認証コードは不要です。
IP制限
許可されたネットワークからのみアクセス可能。許可外のネットワークはアプリ実行環境に届く前にブロックされます。リモートワーク時は許可済みVPNレンジから接続できます。
ネットワーク分離
非公開のアプリ実行環境は認証ゲートウェイからの受信だけを許可し、制御プレーンのネットワークへの経路を持ちません。アプリは外部サービスや、別アプリの認証付き公開URLへ送信できます。
サンドボックス隔離
各アプリは専用の隔離環境で動作し、VMレベルの隔離が施されています。最小権限の原則を適用し、認証情報はプロキシがアプリ到達前に除去します。
データ保護
マネージドストレージの境界と、現在の復旧制約を明示します。
暗号化
- 保存時 — クラウド基盤の標準暗号化（ディスク、データベース、オブジェクトストレージ）
- 通信時 — Keelson管理の受信通信とマネージドDB接続にTLSを使用
デプロイ安全策
- ヘルスゲート — 候補リビジョンをトラフィック切替前に検証
- 失敗時 — 失敗した候補は配信中のリビジョンを置き換えない
ストレージ
- マネージドアプリDBと保存済みファイルは再デプロイ後も保持
/dataを含む実行環境のローカルディスクは一時領域
顧客データの扱い
お客様のデータがどう保護されるか。
データの分離
- - データ資格情報と非公開実行環境への受信をアプリ単位に限定
- - アプリ間でデータを相互参照することは不可
- - アプリごとにアクセスできるメンバーを個別に設定可能
ログのプライバシー保護
- - 基盤のアクセスイベントは認証情報の値ではなく、リクエストのメタデータを記録
- - エラー監視イベントはリクエストヘッダー、Cookie、本文を除去
アプリが出力するログは自動マスクされません。
データの利用
- - お客様のデータをモデル学習・AI学習・マーケティングに使用することはありません
データの保存場所
- - アプリ実行環境とマネージドアプリDBは東京に配置
- - アカウント・ワークスペースのメタデータと一部の運用データは、米国西部を含む米国で処理・保存される場合あり
- - エッジ配信、認証、ログ、成果物、バックアップ、オブジェクトストレージは他地域が関与する場合あり
- - 利用するクラウド基盤事業者はSOC 2、ISO 27001等の認証を取得
ライフサイクルとデータに関する請求
- - 契約終了後の顧客データは、当社所定の期間（原則30日以内）の経過後に削除される場合あり
- - 法令遵守、セキュリティ確保、紛争対応に合理的に必要な運用ログは保持される場合あり
- - 個人情報の開示・訂正・削除等の請求はプライバシーポリシーに基づいて対応
共有責任モデル
Keelsonが守る範囲と、お客様にお願いする範囲。
Keelsonは基盤の境界を管理します。お客様はアプリのコードと依存関係、メンバー、シークレット、外部接続、データ分類、保持、エクスポートを管理します。
| 責任範囲 | Keelsonが対応 | お客様の責任 |
|---|---|---|
| 認証・アクセス制御 | 全アプリへの認証自動適用、メンバー管理 | メンバーの追加・削除の管理 |
| ネットワーク | 非公開受信と制御プレーンネットワークの分離 | 外部接続先と、そのTLS要件 |
| 隔離・権限 | サンドボックス実行、最小権限の適用 | — |
| 暗号化 | マネージドストアの保存時暗号化と、管理接続のTLS | シークレット値と、アプリが接続するサービスのTLS |
| データライフサイクル | マネージドアプリデータストア | 分類、保持、エクスポート、復旧計画 |
| インフラ運用 | マネージド実行基盤とデプロイのヘルスゲート | アプリ依存関係とアプリ内部の監視 |
| アプリのコード | — | 入力値の検証、権限設計、機密情報の適切な扱い |
認証・アクセス制御
Keelson: 全アプリへの認証自動適用、メンバー管理
お客様: メンバーの追加・削除の管理
ネットワーク
Keelson: 非公開受信と制御プレーンネットワークの分離
お客様: 外部接続先と、そのTLS要件
隔離・権限
Keelson: サンドボックス実行、最小権限の適用
暗号化
Keelson: マネージドストアの保存時暗号化と、管理接続のTLS
お客様: シークレット値と、アプリが接続するサービスのTLS
データライフサイクル
Keelson: マネージドアプリデータストア
お客様: 分類、保持、エクスポート、復旧計画
インフラ運用
Keelson: マネージド実行基盤とデプロイのヘルスゲート
お客様: アプリ依存関係とアプリ内部の監視
アプリのコード
お客様: 入力値の検証、権限設計、機密情報の適切な扱い
AIが生成したコード内のロジック（計算ミスや権限チェック漏れなど）の確認は、お客様の責任範囲となります。Keelsonはアプリの「外側」の防御を担いますが、アプリ内部の動作は保証しません。
生成コードの境界
実行基盤の制御はインフラへの到達範囲を限定します。アプリのロジックは検証しません。
管理されたビルド境界
- - コンテナ向けソースデプロイではKeelsonがランタイム別のDockerfileを生成
- - ソースアーカイブ内のDockerfileをアプリのビルド定義として使用しない
- - アプリ起動前に実行イメージを非rootユーザーへ切り替え
実行時の境界
- - アプリごとに分離されたVM隔離実行環境とアプリ単位の資格情報を使用
- - 受信リクエストは認証ゲートウェイを経由し、別アプリから非公開実行環境へ直接到達できない
- - 業務ロジック、依存関係の安全性、アプリが選ぶ外部接続先はKeelsonの検証対象外
運用体制とインシデント対応
マネージド実行基盤の挙動とデプロイ検証、お客様の責任範囲を明示します。
監視と実行基盤の挙動
- - 候補リビジョンをトラフィック切替前にヘルスチェック
- - マネージド実行基盤が失敗したインスタンスを再起動
- - 選択した基盤・課金・認証シグナルを監視
- - アプリの業務メトリクスとアプリ内部のヘルス監視はお客様が担当
インシデント対応
- - 選択した基盤シグナルでしきい値ベースのアラートを構成可能
- - 基盤インシデントの対象はマネージド基盤とプラットフォームコンポーネント
- - マネージド基盤とプラットフォームコンポーネントは基盤側で更新
- - アプリの依存関係はお客様のデプロイ時にのみ再ビルド
顧客への通知
Keelsonが顧客データに影響を及ぼし得るセキュリティ・インシデントを認知した場合、合理的期間内にメール、管理画面上の通知等で対象利用者へ通知します。影響範囲の調査、暫定対処、再発防止策の検討を合理的努力により実施します。復旧時期は保証しません。
- - 顧客データまたは可用性への影響を確認した時点で、影響を受けたワークスペースのownerとadminへメールで初報を送ります
- - 解消するまで少なくとも24時間ごとに、状況に変化がない場合も含めて続報を送ります
- - 解消の連絡をもって続報を終え、影響範囲と原因を要約した最終報を出します
- - 個人データの漏えい等により法令上の報告義務が生じる場合は、適用法令の定める期限に従って当局および本人へ通知します
マネージド基盤
Keelsonは実行基盤を管理します。アプリ運用とデータライフサイクルの判断はお客様が担当します。
- - サーバーの構築・設定は一切不要
- - Keelsonがサーバーレス実行基盤の設定とデプロイのロールアウトを管理
- - デプロイとアプリ設定はブラウザのダッシュボードから管理
インフラ基盤
- - アプリごとに隔離されたサーバーレス実行環境で運用
- - ユーザーアプリとシステムコンポーネントをワークロード単位で分離
セキュリティ報告
脆弱性と不正利用の疑いは、専用窓口へ連絡してください。
脆弱性を報告する
対象コンポーネントまたはURL、想定される影響、再現手順を送付してください。利用規約は、許可のない脆弱性調査、セキュリティ機能の回避、不正アクセスの試みを禁止しています。所有していないシステムを検証する前に連絡してください。
不正利用の疑いを報告する
Keelson上のアプリによるスパム、フィッシング、攻撃通信、違法コンテンツ等の疑いを報告してください。確認できる場合はアプリURL、時刻、根拠資料を含めてください。
許容利用と濫用対応
基盤の境界には、不正利用に対して実施可能な制限が含まれます。
禁止される利用
利用規約は、許可のないアクセスと脆弱性調査、セキュリティ機能の回避、コンテナ脱出の試み、マイニング、スパム、過度な負荷、攻撃の踏み台としての利用を禁止しています。
実施可能な措置
Keelsonは、禁止行為に対してサービスを直ちに停止でき、利用規約違反時は事前通知なくアカウントを停止・解除できます。濫用停止中のアプリは配信境界で拒否されます。Keelsonは、すべてのアプリコードや外向き通信を濫用検知のために検査するとは表明しません。
保証・認証の現状
基盤事業者の認証とKeelson自体の保証は別です。
基盤事業者
Keelsonが利用するクラウド基盤事業者は、SOC 2、ISO 27001等の認証を維持しています。これらの認証は各事業者のサービスと統制環境を対象とします。
Keelson
基盤事業者の認証はKeelson自体を認証するものではありません。Keelsonは、自社のSOC 2・ISO 27001認証取得済み、または独立したペネトレーションテスト実施済みとは表明しません。
技術詳細
認証
- -JWTベースの認証（非対称鍵による署名・検証）
- -Google / Microsoft OAuth 2.0 対応
- -内部プロキシセッション: 短TTLの署名付きトークン
- -認証ヘッダー・Cookieはプロキシがアプリへの転送前に除去
コンテナ隔離
各ユーザーアプリは専用のVM隔離実行環境で動作します。
- -アプリごとの専用環境でVMレベルの隔離 — 他アプリと共有しない
- -非rootユーザーで実行し、特権昇格を禁止
- -専用・最小権限のアイデンティティで動作し、ストレージ権限は自アプリのデータ領域に限定される（他ワークスペース・他アプリのデータには到達できない）
- -コンテナに注入される基盤発行の資格情報は、いずれもそのアプリ単位・機能単位にスコープされる（例: 自アプリのストレージ / データベース / メールトークン / ディレクトリトークン）。control-plane や管理権限の資格情報は渡さない
ネットワーク
- -受信（Ingress）: 認証済みゲートウェイ経由でのみアプリに到達可能。未認証のリクエストは拒否
- -送信（Egress）: 外部サービスや別アプリの認証付き公開URLへ直接接続可能
- -アプリ実行環境から制御プレーンネットワークへの経路なし
暗号化
- -保存時: クラウド基盤の標準暗号化 — ディスク、データベース、オブジェクトストレージ
- -通信時: Keelson管理の受信通信とマネージドDB接続にTLSを使用
インフラ
- -アプリごとに隔離されたサーバーレス実行環境
- -エッジネットワーク: DDoS軽減 + TLS終端
- -プラットフォームDB: プライベート接続、自動バックアップ、任意時点復元、単一リージョン配置
- -アプリごとの隔離: 各アプリは他アプリやシステムコンポーネントと分離して動作
- -フルマネージドな実行基盤 — サーバーの保守やパッチ適用は不要
- -ネットワーク隔離された実行環境 — 認証済みゲートウェイ以外からの受信経路なし
ログ・監視
- -メトリクス監視基盤によるリソース監視
- -アクセスイベントは認証情報の値を記録せず、エラー監視イベントはリクエストヘッダー、Cookie、本文を除去
- -アプリが出力するログは自動マスク対象外
- -選択した基盤シグナルでしきい値ベースのアラートを構成可能
コンプライアンス
- -Keelsonが利用するクラウド基盤事業者は、SOC 2、ISO 27001 等の認証を取得しています
- -アプリ実行環境とマネージドアプリDBは東京に配置。制御プレーンと運用データは米国その他の地域で処理・保存される場合あり
脆弱性開示ポリシー
この脆弱性開示ポリシーに従った善意の報告を歓迎します。
許可される範囲
報告者自身のアカウントに属するワークスペース、そのワークスペースが所有するアプリ、および *.keelson.run 上の自分のアプリのエンドポイントを調査できます。
他ワークスペースのアプリとデータ、管理面 (api.keelson.dev と console.keelson.dev) に対する自動スキャンと総当たり、当社が依存する外部事業者のサービス、およびソーシャルエンジニアリングを含む当社の従業員・オフィス・物理設備は調査対象外です。
禁止手法と停止条件
負荷試験、DoS、スパム送信、他人のデータの取得・改変・削除、サービスの可用性を損なう行為、および監視の回避を行わないでください。
他ワークスペースのデータに到達しうると分かった時点で直ちに中止してください。取得したデータは保存せず、報告に必要な最小限の証跡だけを残してください。
報告と初回応答
対象コンポーネントまたはURL、想定される影響、再現手順を security@keelson.dev へ報告してください。
受領から3 営業日以内 (日本時間) に初回応答します。修正期限は約束しません。
セーフハーバー
この開示ポリシーに定める範囲内で行われる調査は、AUP §2.1 にいう当社の事前の許可を得たものとみなします。範囲外の行為には引き続き AUP §2.1 の禁止が適用されます。
上記の範囲内で善意に行われ、可用性または他ワークスペースのデータに影響を与えず、発見後速やかに報告され、修正が完了するまで公表を控える調査について、当社は法的措置を取りません。
金銭的報奨金またはバグバウンティの制度はありません。
バックアップと復旧
顧客アプリのデータとKeelsonプラットフォームのデータでは、バックアップと復旧の責任範囲が異なります。
顧客アプリのデータ
- - マネージドアプリDBでは、日次バックアップ、手動バックアップ、時刻復元（PITR）、ダウンロードを利用できます
- - 復元時点の選択やアプリ側の整合性確認を含む復旧計画は、お客様の責任です
プラットフォームのデータ
- - プラットフォームDBはプライベート接続、自動バックアップ、任意時点復元を使用し、単一リージョンに配置
- - 復旧時間目標（RTO）と復旧時点目標（RPO）の数値は公開していません
データ種別ごとの取扱い
データの所在と保持方法は、データ種別と運用上の役割によって異なります。ここでは外部事業者名を掲載していません。
| データの種類 | 主に置かれる地域 | 他の地域での処理 | 保持のしかた |
|---|---|---|---|
| アプリのデータ（Managed SQLiteの中身・アプリのファイル） | マネージドアプリDBは日本・東京に配置し、アプリのファイルについて単一の主地域は指定していません | エッジ配信、成果物、バックアップ、オブジェクトストレージでは他地域が関与する場合があります | サービス提供中は保持し、契約終了後は当社所定の期間（原則30日以内）の経過後に削除する場合があります |
| アカウント・ワークスペース・アプリの管理情報（メタデータ） | このデータ種別について単一の主地域は指定していません | 一部のメタデータは米国西部を含む米国で処理・保存される場合があり、認証やエッジ配信では他地域が関与する場合があります | 利用目的の達成に必要な期間保持し、不要となった場合は削除または匿名化します |
| 操作ログ・監査ログ | このデータ種別について単一の主地域は指定していません | 一部の運用データは米国西部を含む米国で処理・保存される場合があり、ログ基盤やエッジ配信では他地域が関与する場合があります | 法令遵守、セキュリティ確保、紛争対応に必要な場合、合理的な期間保持することがあります |
| アプリの実行ログ | このデータ種別について単一の主地域は指定していません | ログ基盤では他地域が関与する場合があります | 適用プランの期間内を閲覧できます。この期間は物理的な削除期限ではなく、物理的な保持期間は公開上約束していません |
| 課金情報 | このデータ種別について単一の主地域は指定していません | 決済処理は米国等の日本国外で行われる場合があります。Keelsonはクレジットカード情報を原則として保持しません | 決済と法令上の目的に必要な期間保持し、不要となった場合は削除または匿名化します |
アプリのデータ（Managed SQLiteの中身・アプリのファイル）
主な地域: マネージドアプリDBは日本・東京に配置し、アプリのファイルについて単一の主地域は指定していません
他地域: エッジ配信、成果物、バックアップ、オブジェクトストレージでは他地域が関与する場合があります
保持: サービス提供中は保持し、契約終了後は当社所定の期間（原則30日以内）の経過後に削除する場合があります
アカウント・ワークスペース・アプリの管理情報（メタデータ）
主な地域: このデータ種別について単一の主地域は指定していません
他地域: 一部のメタデータは米国西部を含む米国で処理・保存される場合があり、認証やエッジ配信では他地域が関与する場合があります
保持: 利用目的の達成に必要な期間保持し、不要となった場合は削除または匿名化します
操作ログ・監査ログ
主な地域: このデータ種別について単一の主地域は指定していません
他地域: 一部の運用データは米国西部を含む米国で処理・保存される場合があり、ログ基盤やエッジ配信では他地域が関与する場合があります
保持: 法令遵守、セキュリティ確保、紛争対応に必要な場合、合理的な期間保持することがあります
アプリの実行ログ
主な地域: このデータ種別について単一の主地域は指定していません
他地域: ログ基盤では他地域が関与する場合があります
保持: 適用プランの期間内を閲覧できます。この期間は物理的な削除期限ではなく、物理的な保持期間は公開上約束していません
課金情報
主な地域: このデータ種別について単一の主地域は指定していません
他地域: 決済処理は米国等の日本国外で行われる場合があります。Keelsonはクレジットカード情報を原則として保持しません
保持: 決済と法令上の目的に必要な期間保持し、不要となった場合は削除または匿名化します