セキュリティのベストプラクティス

Onetime Secret はセキュリティを考慮して設計されていますが、以下のベストプラクティスに従うことで、特にカスタムドメインなどの機能を使用する際に、機密情報の保護をさらに強化できます。

シークレット共有のベストプラクティス

1. 適切な有効期限を設定する：シークレットには、実用上最も短い有効期限を選びます。これにより、不正アクセスが可能な時間枠を最小限に抑えられます。

2. パスフレーズ保護を使用する：機密性の高い情報には、パスフレーズ保護機能を使用します。受信者がシークレットを表示するためにパスフレーズの入力を求められるため、セキュリティの層が 1 つ追加されます。

3. 機密情報を分割する：機密性の高いデータを扱う場合は、複数のシークレットに分割することを検討してください。こうすれば、1 つのシークレットが漏洩しても、残りの情報は保護されたままになります。

4. メタデータの共有には安全なチャネルを使用する：Onetime Secret はシークレットの内容を保護しますが、リンクや関連するメタデータ（パスフレーズなど）をどのように共有するかには注意してください。この連絡には、安全で暗号化されたチャネルを使用してください。

5. 受信者を確認する：意図した受信者とシークレットを共有していることを確認してください。送信前にメールアドレスやユーザー名を再確認します。

6. ユーザーを教育する：組織内で Onetime Secret を使用する場合は、適切な使用方法と、シークレット共有に特有のセキュリティ上の慣行についてチームを教育してください。

カスタムドメインのセキュリティ上の利点

Onetime Secret でカスタムドメインを使用すると、いくつかのセキュリティ上の利点があります。

1. フィッシング対策の強化：カスタムドメインを使用すると、ユーザーはシークレット共有に使われる特定の URL に慣れていきます。これにより、似た見た目のドメインを使ったフィッシングの試みを見分けやすくなります。

2. 信頼性と正当性の向上：受信者が見慣れたドメインを目にすると、シークレットの送信元を信頼しやすくなります。これは、顧客やパートナーと機密情報を共有する企業にとって特に重要です。

3. 既存のセキュリティ基盤とのシームレスな統合：カスタムドメインは、既存のセキュリティツールや監視システムと統合しやすく、組織のシークレット共有活動をより包括的に把握できます。

4. コンプライアンスと監査：規制業界の組織にとって、カスタムドメインの使用は、シークレット共有活動を組織の直接の管理下に置き、監査プロセスを簡素化することで、コンプライアンスの維持に役立ちます。

Onetime Secret は、SSL/TLS の設定やドメインアクティビティの監視など、カスタムドメインを保護するための技術的な側面を処理するため、こうした戦略的なセキュリティ上の利点に集中できます。

API 利用時のセキュリティ

Onetime Secret API を使用している場合：

1. API キーを保護する：API キーは安全に保管し、クライアント側のコードや公開リポジトリに決して露出させないでください。

2. API キーをローテーションする：API キーは定期的にローテーションしてください。漏洩の疑いがある場合は特に重要です。

3. API アクセスを制限する：API アクセスを設定する際は、最小権限の原則に従ってください。それぞれのユースケースに必要な権限のみを付与します。

セルフホスト環境の高度なセキュリティ

このセクションでは、Onetime Secret の独自インスタンスを運用する組織向けに、高度なセキュリティ上の考慮事項を説明します。オープンソースプロジェクトは GitHub に、公式コンテナイメージは GitHub Container Registry にあります。

以下の推奨事項は、Onetime Secret をセルフホストする際にインフラストラクチャのレベルで実装できます。

1. エフェメラルな環境を使用する：可能であれば、シークレット共有のセッションごとに環境を作成し、破棄してください。これは機密性の高い業務で特に有用です。当社の Onetime Secret Lite Docker イメージは、エフェメラルなユースケース向けに設計されています。

2. 時間ベースの制限を実装する：ユースケースが許す場合は、営業時間内のみなど、シークレットへのアクセスに時間ベースの制限を設けることを検討してください。

3. ジオフェンシング：機密性の高い業務では、特定の地理的位置からのシークレットへのアクセスを制限するジオフェンシングの導入を検討してください。

4. 監査証跡：シークレットの作成とアクセス試行について詳細な監査証跡を維持してください。これはインシデント対応やコンプライアンス要件において極めて重要になり得ます。

5. 保存時の暗号化：Onetime Secret は暗号化を処理しますが、機密性の高いデータについては、シークレットを作成する前に内容を暗号化し、保護の層を追加することを検討してください。

インシデント対応

このセクションでは、組織に役立つ可能性のある一般的なセキュリティ上の推奨事項を概説します。これらの推奨事項は、当社サービスの特定の機能ではありません。

1. 計画を用意する：シークレット共有プロセスに特化したインシデント対応計画を策定してください。これには、アクセスの取り消し、影響を受ける関係者への通知、潜在的な損害の軽減に関する手順を含めます。

2. 迅速に行動する：シークレットが漏洩した疑いがある場合、そのシークレットがまだ閲覧されていなければ、すぐに Onetime Secret の削除機能を使用してください。すでに閲覧されている場合は、潜在的な損害を軽減するための適切な措置を講じてください。

3. 定期的なセキュリティレビュー：シークレット共有の慣行を定期的に見直し、必要に応じてセキュリティ対策を調整してください。

---

これらのベストプラクティスに従うことで、Onetime Secret でのシークレット共有活動のセキュリティを大幅に強化できます。セキュリティは継続的なプロセスであり、警戒を怠らないことが機密情報を保護する鍵であることを忘れないでください。

セキュリティ上の懸念や潜在的な脆弱性の報告については、直ちに当社のセキュリティチーム（security@onetimesecret.com）までご連絡ください。