セキュリティ・コンプライアンス

OpenBait のデータの保管場所、ログインの仕組み、通報ページが収集する情報、通報された URL の送付先、サブプロセッサー。ベンダー審査のためのページです。

このページは、ベンダー審査をご担当の方向けです。書いてあるのは、いま実際に存在する仕組みだけです。構成の詳細は、NDA 締結後にセキュリティ質問票でお答えします。公的認証など、まだ持っていないものは以下に明記しています。本ページで触れていない項目は contact@openbait.com までご連絡ください。

データの保管場所

主なデータ（アカウント、ブランド、通報、案件、証跡）は日本国内に保存されます。その一部は、下記のサブプロセッサー（EU・米国）で処理されます。
前段：Cloudflare（DNS、CDN、DDoS 対策、TLS 終端）。

暗号化

通信：すべて HTTPS、TLS 1.2 以上（クライアントが対応していれば TLS 1.3）。HSTS は max-age 2 年、サブドメインを含みます。
セッション：暗号化されたトークン（改ざんは検知されます）。

通報ページが収集する情報

公開の通報ページ（openbait.com/report/ブランド名）が尋ねるのは、通報するサイトの URL ひとつだけです。サイトが停止したときに知らせてほしい場合に限り、メモとメールアドレスを任意で残せます。メールアドレスはその連絡以外には使いません。

通報にアカウントは不要です。
送信時にボット判定（Cloudflare Turnstile）を行います。通報者の IP アドレスはこの判定とレート制限に使われ、通報データには保存されません。
Web サーバーのアクセスログの保存期間は 180 日です。

通報された URL の送付先

サイトを止められる相手に通報することが、この製品の役割そのものです。そのため、通報された URL は設計上、当社のシステムの外へ送られます。

送付先の種類	タイミング	送る内容
ブラウザのブロックリスト・脅威インテリジェンス	フィッシングと確認された時点	URL
ホスティング事業者・ドメイン登録事業者	ブランドの確認後のみ	URL、証跡、かたられているブランド名
フィッシング対策の調整機関	ブランドの確認後のみ	同上

個々の送付先と経路の選び方は、案件ごとに OpenBait が判断する非公開の運用です。契約後は、個別の案件の送付先をコンソールで確認できます。

通報は常に OpenBait の名義（contact@openbait.com）で、ブランドの代理として送られます。ブランドのドメインが差出人になることはありません。ホスティング事業者やドメイン登録事業者への連絡は、ブランドの確認なしには送りません。

サブプロセッサー

事業者	用途	所在地
XServer 株式会社	本番ホスティング	日本
Cloudflare	DNS、CDN、DDoS 対策、ボット判定（Turnstile）、受信メールの転送	グローバル
Brevo、Postmark	トランザクションメール	EU・米国
Stripe	決済	米国
Sentry	エラー監視	米国
Google（Gemini API）	ページ解析の AI 推論	米国

AI による処理

ページの解析には Google の Gemini API を使います。送信するのは、ドメイン名、照合するブランド名、ページのテキストと HTML を切り詰めたもの、場合によってはページのスクリーンショットです。Google の利用規約により、送信した内容が Google のサービス改善に使われることがあります。当社から送るのは、調査対象ページの公開されている内容と、照合するブランド名に限られます。アカウント情報、通報者のメールアドレス、お客様の他のブランドに関する情報は送信しません。AI の解析結果は判定材料のひとつであり、判定そのものではありません。

バックアップ

データベースのバックアップを毎日取得しています。保持期間と復旧手順は質問票でお答えします。

契約終了後のデータ

アカウントを閉じると、90 日以内に組織のデータを削除します。バックアップに残るデータも、その後 35 日以内に順次消去されます。ドメイン登録事業者やホスティング事業者に送信済みの報告は取り消せません。削除前にデータの書き出しが必要な場合は、閉じる前にご連絡ください。有料プランを解約してもアカウントは閉じず、ワークスペースは Free プランに移ります（サブスクリプション・返金ポリシーをご覧ください）。

コードの確認方法

デプロイのたびに、依存パッケージの脆弱性スキャンを実行します。
社内セキュリティレビューを定期的に実施し、コード上の指摘事項は本番環境で修正しています。
公的認証（ISO 27001、SOC 2、プライバシーマーク）は未取得です。個人データは GDPR と個人情報保護法に沿って取り扱い、DPA の締結にも応じます。

インシデント発生時

お客様のデータに影響するインシデントを検知した場合、検知から 72 時間以内に、組織のオーナーへ、発生内容・影響範囲・対応状況をお知らせします。

JavaScript SDK

SDK は任意です。通報ページの利用に SDK は必要ありませんし、導入しないブランドがほとんどです。

自社サイトに設置すると、ページの情報（ホスト名、URL、タイトル、リファラー）とブラウザの情報を当社へ送信します。ログインフォームの送信時などには、端末のフィンガープリントも送信します。入力欄の中身は送信しません。収集する項目の一覧はプライバシーポリシーに記載しています。

自社のログインページに設置した場合、フィッシングサイトだけでなく、正規のログインのたびにもフィンガープリントが送信されます。 ログインのたびに端末のフィンガープリントを送る構成にしたくない場合は、SDK を導入しないでください。通報ページは SDK なしで動きます。Cookie は使っておらず、広告目的の利用も第三者への販売もありません。

脆弱性の報告

脆弱性のご報告を歓迎します。

連絡先：contact@openbait.com
受領のご連絡：48 時間以内
謝辞：ご同意をいただいた場合、修正後のリリースノートに記載します

契約関連

DPA、評価期間中の NDA、セキュリティ質問票へのご回答は contact@openbait.com までご依頼ください。

最終更新：2026 年 9 月 28 日。