Security Policy

顧客 と Xiora 間 の 全 request は TLS 1.3 で 暗号化。 HTTP は 全 domain で 自動 HTTPS リダイレクト。 HSTS max-age=31536000 (1 年)、 includeSubDomains 有効。

SSL 証明書: Let's Encrypt (Caddy 自動 更新) or Cloudflare 発行 (Universal SSL)。

weak cipher (SSL 3.0 / TLS 1.0 / TLS 1.1) は 全 endpoint で 無効化。

Postgres 16 の 機微 field (contact / API key / PII) は pgcrypto の pgp_sym_encrypt で AES-256 暗号化。 schema 分離 で テナント 越境 read 不可。

Docker volume は VPS の 暗号化 disk (ConoHa 提供 の LUKS-equivalent) に 配置。

Cloudflare R2 / MinIO 保存 asset は edge レベル で 冗長 保存、 3-copy 以上。

Xiora 内部 (XAI Portal) は TOTP 2FA 必須、 magic URL は HMAC-SHA256 署名 の 15 分 TTL、 auditor role は read-only。

顧客 側 auth は product 依存: Clerk (Nexa Academy) / OAuth (Google/Apple/LINE) / passkey (WebAuthn) を 使い分け。

全 API endpoint は role-based access control (RBAC)、 顧客 は 自 tenant データ のみ アクセス可。

API key / 秘密鍵 / password は 全て:

• Reo 側: macOS Keychain (svce=xai:*) に 保管、 chat / log / commit に 直接 露出 させない
• Server 側: VPS の /opt/*/.env に systemd 経由 で 供給、 file permission 600
• rotation: 6 ヶ月 毎 に review、 breach 疑い 発生 時 は 即 rotate

secret manifest (key 名 のみ、 値 は 出さない) は XAI Portal の /co/it で 全 employees が 監査 可能。

ランタイム error / stack trace は Sentry に 集約 (xiora.sentry.io)。 全 project で source map 有効。

dependency vulnerability: 週次 npm audit / pip-audit / cargo audit を CI で 自動 実行、 critical は 即 patch。

侵入 payload 検出時 は Xiora 内部 の Aegis (defensive security OS) で sandbox 隔離 + 研究 + 予防策 蓄積 (外部 通報 なし)。

Security incident 発生 時 の 対応 手順:

• 覚知 → 24 時間 以内 に 初動 (影響 範囲 特定、 暫定 対応)
• 48 時間 以内 に 影響 顧客 に 通知
• 7 日 以内 に 恒久 対応 完了 + public post-mortem 公開

Responsible disclosure 窓口: info@xiora-official.com (件名: [Security Report])。 発見者 の 匿名 希望 は 尊重、 report bounty は 現状 未整備 (Phase 2 予定)。