セキュリティ

Archyl は、アーキテクチャデータとコード分析を保護するために複数のセキュリティ対策を実施しています。このガイドでは、セキュリティプラクティスと安全なアクセスの設定方法を説明します。

データ保護

暗号化

データ分離

• 各組織のデータは完全に分離
• 組織間のデータアクセスなし
• 組織内のロールベースのアクセス制御

認証セキュリティ

OAuth 統合

Archyl は Git プロバイダー認証に OAuth を使用：

• 資格情報を保存しない：Git パスワードは一切保存しません
• 最小限の権限：リポジトリの読み取りアクセスのみ要求
• トークンベース：限定されたスコープの OAuth トークン
• 取り消し可能：プロバイダー設定からいつでも切断可能

サポートされているプロバイダー

JWT セッション管理

• 短期アクセストークン（24 時間）
• セキュアな HTTP-only Cookie
• 自動トークンリフレッシュ
• ログアウト時のセッション無効化

プライベートリポジトリ

プライベートリポジトリの使用

Archyl はプライベートリポジトリを完全にサポートしています：

1. OAuth 認証：読み取り専用アクセスを付与
2. セルフホストプロバイダー：パーソナルアクセストークンを使用
3. 選択的アクセス：接続するリポジトリを選択

アクセスする内容

リポジトリ分析時：

• ファイル構造とパス
• コード内容（分析中のみ）
• 設定ファイル

保存しない内容

• ソースコード（メタデータと発見されたアーキテクチャのみ）
• Git 資格情報
• OAuth トークンは暗号化されスコープが制限されている

AI 分析のセキュリティ

AI ディスカバリーの仕組み

AI 搭載のディスカバリー中：

1. コードは設定された AI プロバイダーに送信される
2. コード構造のみが分析される
3. 結果にはユーザーの承認が必要
4. コードは恒久的に保存されない

アクセス制御

組織ロール

チームベースのアクセス

• チームレベルでメンバーを招待
• チームごとに異なるロール
• チームメンバーシップによるプロジェクトアクセス制御

API キーの権限

• 読み取り専用または読み書き権限
• 特定の操作に限定
• 有効期限のサポート
• キー使用の監査証跡

コンプライアンス

データ処理

• GDPR 準拠のデータ処理
• リクエストに応じたデータ削除
• いつでもデータをエクスポート可能
• サードパーティへのデータ販売なし

インフラストラクチャ

• セキュアなクラウドインフラストラクチャでホスティング
• 定期的なセキュリティ監査
• 自動化された脆弱性スキャン
• インシデント対応手順

セキュリティのベストプラクティス

組織向け

1. チームベースのアクセスを使用：資格情報を共有しない
2. MFA を有効化：Git プロバイダーアカウントを保護
3. API キーをローテーション：定期的にキーを変更
4. アクセスを監査：チームメンバーシップを定期的に確認

AI ディスカバリー向け

1. 承認前に確認：発見された要素をチェック
2. 機密コードには Ollama を使用：分析をローカルに保持
3. ディスカバリー範囲を制限：必要なパスのみ分析
4. 機密ファイルを除外：除外パターンを設定

共有向け

1. 有効期限を設定：不必要に永久リンクを作成しない
2. 共有リンクを確認：アクティブな共有を定期的に監査
3. チームアクセスを使用：内部使用では共有リンクよりチームメンバーシップを優先

セキュリティ問題の報告

セキュリティの脆弱性を発見した場合：

1. 公開で開示しないでください
2. security@archyl.com にメールを送信してください
3. 詳細な再現手順を含めてください
4. 24 時間以内に返信します

次のステップ

• チームコラボレーション - チームアクセスの設定
• 認証 - セキュアな API アクセス
• AI ディスカバリー - AI プロバイダーの設定