セキュリティ

1. ファイルは端末に残ります

圧縮、OCR、変換を含むすべてのファイルツールは、ブラウザ内（JavaScript と WebAssembly）で動作します。ファイルはサーバーに送られないため、当サイト側の誰もアクセスできません。ご自身で確認できます。ブラウザの開発者ツール（F12）で「ネットワーク」タブを開き、ファイルを処理してみてください — ファイルのアップロードは表示されません。サーバーに届くのは、AI 機能のためのテキストと URL から PDF のためのページのアドレスだけです。

2. 暗号化された接続

サイトは HTTPS でのみ動作します。HSTS ヘッダー（ブラウザのプリロードリストに登録済み）により、ブラウザは初回訪問時も含めて常に安全に接続します。

3. ブラウザでの保護

• Content Security Policy により、サイトがスクリプトを読み込める場所と接続できる先を、当サイトのドメインと明記したサービス（Google のサインイン、Dropbox、Microsoft、同意後の Google Analytics）に限定しています。
• サイトを他サイトに埋め込むことはできません（X-Frame-Options: DENY、frame-ancestors）— クリックジャッキングを防ぎます。
• Permissions-Policy により、カメラ、マイク、位置情報、USB、決済へのアクセスを遮断しています。
• X-Content-Type-Options と Referrer-Policy により、ファイル形式の推測とページのアドレスの受け渡しを制限しています。

4. サーバーの保護

• API リクエストは当サイト自身からのものだけを受け付けます（Origin と Referer ヘッダーの確認 — CSRF 対策）。
• リクエスト上限：API は IP アドレスごとに毎分 30、AI 機能は 1 日 15、URL から PDF は 10 分あたり 30。リクエストサイズの上限は 100 MB。
• URL から PDF はプライベート／ローカルネットワークやサーバーのクラウドサービスのアドレスを拒否し、確認したアドレスとサーバーが接続するアドレスは同じです（SSRF と DNS リバインディング対策）。
• API の入力はサーバーで確認しています（テキストの長さ、許可された翻訳言語）。

5. AI 機能

AI に送るのは、ファイルから抽出したテキストとご質問だけです — IP アドレスやブラウザ情報は含まず、当サイトのサーバーとその API キーを通じて送ります（ご自身のキーは不要です）。すべてのリクエストは、OpenRouter によればデータをリクエスト後に保持せずモデルの学習にも使わない提供者を条件とし、該当者がいなければリクエストは実行されません。

6. アカウントもプロファイルもありません

登録やサインインは不要で、パスワードを保存せず、ユーザープロファイルも作りません。PDF の保護・解除に使うパスワードや署名用の証明書は、ブラウザ内でのみ使用されます。

7. 依存関係

ライブラリを最新に保ち、既知の脆弱性を npm audit と、サイトが使う依存関係に新たな高・重大レベルの警告が出るたびに報告するテストで確認しています。

8. 脆弱性の報告

セキュリティ上の欠陥を見つけた場合は kontakt@optimapdf.com までご連絡ください。当サイトは次のことをお約束します：

• 24 時間以内に受領を確認すること、
• 分析し、14 日以内（深刻度に応じて）に修正を公開すること、
• 対応内容をお知らせすること、
• 善意で脆弱性を報告した方に法的措置をとらないこと。

9. 認証

OptimaPDF は独自の ISO 27001 や SOC 2 の認証を持っていません。ホスティング事業者の Vercel は ISO 27001:2022 の認証と SOC 2 タイプ 2 レポートを取得しています。ファイルが当サイトのサーバーに届くことはないため、当サイト側に暗号化すべき「保存中」のファイルはありません。

10. デジタル署名と eIDAS

「PDF に署名」ツールは、お客様の証明書（.p12/.pfx）で PAdES デジタル署名を作成します — すべてブラウザ内で行い、ファイルも証明書も送信しません。本物の暗号署名ですが、eIDAS 規則（EU 910/2014）上の適格電子署名（QES）に自動的になるわけではありません。QES に該当するかは、証明書が適格トラストサービス提供者により発行され、鍵が適格デバイス上にあるかどうかで決まります。