セキュリティ
OutcomeGuard は自動化プラットフォームを読み取るだけで、保存するデータもできるだけ少なくしています。それが具体的に何を意味するのかを、裏付けのない主張を混ぜずに書きます。
インスタンスへのアクセス
- アクセスは読み取り専用です。n8n の公開 REST API でワークフローと実行を取得するだけです。
- ワークフローの作成、編集、有効化、無効化は行わず、n8n に保存された認証情報の読み取りや変更も行いません。
- 使うのはお客様が入力した API キーだけで、そのキーで見られる範囲を超えることはありません。プラットフォームやサーバーそのものへのアクセスは求めません。
- 内部でも最小権限を守り、各コンポーネントには役割に必要な範囲の権限だけを与えています。
API キーの扱い
- API キーは保存時に AES-256-GCM で暗号化します。
- 暗号鍵は実行環境にのみ置きます。ソースコード、git、ログには入れません。
- 鍵のローテーションに対応します。ローテーション中は、前の鍵で書かれたデータも復号できます。
- 無料スキャンで使ったキーは、スキャン終了時に破棄します。保存するのはインスタンスをアカウントへ連携した場合だけです。
保存するもの、保存しないもの
- 保存するのは実行の要約です。状態、開始と終了の時刻、所要時間、件数、最後に実行されたノード名、ワークフロー定義のハッシュ、秘密情報を取り除いたエラーメッセージ。
- 実行のペイロードは保存しません。ワークフローが運んでいるレコード（顧客データ、書類、メッセージ本文、添付）を OutcomeGuard 側へ複製することはありません。
- エラーメッセージは、保存する前に秘密情報を取り除きます。エラー文に混ざったトークン、キー、認証情報がデータベースや通知に残ることはありません。
- 通知に載せるのも同じ要約の根拠だけで、業務データは載せません。
通信
- 通信はすべて TLS です。お客様と OutcomeGuard の間も、OutcomeGuard とインスタンスの間も同じです。
- 課金の webhook は署名を検証してから処理します。
- プライベートネットワーク上のアドレスは、接続を試す前に拒否します。
保持と削除
- 実行の要約は 90 日保持します。
- 無料スキャンのレポートは 7 日後に削除します。
- 連携を解除すると、その連携の認証情報と実行要約を削除します。
- アカウントを削除すると、ワークスペースとそれに属するデータを削除します。
分離と記録
- テナントの分離は、すべてのクエリをワークスペース単位に限定することで担保しています。Agency プランで、あるクライアントのデータが別のクライアントの画面に出ないのも、この仕組みによるものです。
- 管理操作とセキュリティに関わる操作は監査ログに記録します。
- レート制限を設けています。当社のサービスと、読み取り先のインスタンスの双方を守るためです。
自動で行う操作
- 自動復旧の範囲は意図的に狭くしています。当社側のチェックの再試行、失敗した通知の再送、検証のやり直しだけです。
- ワークフローの書き換え、認証情報の変更、課金や設定の代行は行いません。
- インスタンスに接続できない場合は UNKNOWN にします。応答がないことを正常とはみなしません。