セキュリティと責任ある開示

CodePus がお客様のコード、認証情報、チームをどのように保護するか。

当社のセキュリティ体制

CodePus は、転送中のデータを TLS 1.3 で、保存中のデータを AES-256 で暗号化します。テナントデータは組織ごとに分離されています。当社はすべての内部アクセスについて最小権限の原則に従い、署名鍵を四半期ごとにローテーションします。

• すべての公開エンドポイントで HSTS 付きの TLS 1.3
• 利用記録、シークレット、モデルトレースの保存時暗号化（AES-256）
• IDE ログイン用の OAuth 2.0 + PKCE + RFC 8628 デバイスコードフロー
• Enterprise プラン向けの SSO（SAML 2.0 / OIDC）と SCIM 2.0
• 更新成果物のリクエストごとの署名（sha256 + https 限定）

コンプライアンス

当社は業界標準への準拠を継続的に進めています。

• SOC 2 Type II — 監査進行中
• GDPR と PIPL — データのエクスポートと削除のエンドポイントを /dashboard/security 配下で公開
• ISO/IEC 27001 — 統制をマッピング済み、認証ロードマップを以下に公開

脆弱性の報告

当社は研究者からの報告を歓迎します。責任ある開示にご協力ください：当社が修正のための合理的な時間（通常 90 日）を確保するまで、問題を公開しないでください。

• service@codepus.ai
• PGP フィンガープリント：4C5E 1F0B 9E1A 7D2A 3F4B 6C7D 8E9F 0A1B 2C3D 4E5F
• 対象範囲：codepus.ai、*.codepus.ai、IDE バイナリ配布、オープンソースリポジトリ。
• 対象外：未認証のマーケティングページでのクリックジャッキング、実証された影響のないセキュリティヘッダーの欠如、自動スキャナーの出力。
• 対象範囲内の再現可能な脆弱性に対しては、セキュリティチームの裁量により 100〜10,000 米ドルの報奨金が授与されます。

バグバウンティの殿堂

問題の解決後、同意を得たうえで研究者への謝辞を公開します。掲載をご希望の場合は service@codepus.ai までメールをお送りください。