セキュリティ対策
サブスクラインで会員の個人情報をどのように守っているかと、管理画面を使う会社側で設定しておくことをまとめたページです。社内のセキュリティ確認や、取引先からの質問への回答にお使いください。
1. ログインを守る
パスワードの条件
管理画面のパスワードは、8文字以上で、英大文字・英小文字・数字・記号をそれぞれ1文字以上含める必要があります。条件を満たさないパスワードは設定できません。
二段階認証(ログイン時のメール承認)
提供開始の準備中です
ログイン時のメール承認は、現在、提供開始の準備を進めています。開始後に会社ごとに有効にできます。ご利用を希望する場合は、サポートへご相談ください。
パスワードの入力に加えて、アカウントに登録されたメールアドレスへ届く「ログインの承認」メールで本人確認をする二段階認証です。パスワードだけではログインできず、登録メールアドレスで承認する必要があります(信頼済み端末を除く)。
- ログイン画面でメールアドレスとパスワードを入力します。
- 登録メールアドレスに「ログインの承認」メールが届きます。
- メールとログイン画面の照合番号が一致することを確かめ、リンク先で「このログインを承認」を押します。
- 承認の要求は、発行から15分で無効になります。
- 方式はメールの承認リンクです。認証アプリやSMSのコードを使う方式には対応していません。
- 会社単位で運営が有効にします。 有効にした会社では、所属する全アカウントのログインに承認が必要になり、利用者ごとに外すことはできません。
- 複数の会社に所属するアカウントは、所属先のうち1社でも有効にしていれば、どの会社へのログインでも承認が必要です。
- 承認メールは登録メールアドレスにしか届きません。有効にする前に、全員が自分で受信できるメールアドレスでログインできる状態にしてください(「スタッフごとのアカウントと権限」参照)。
操作の詳細はログイン、会社ごとの設定はログイン時のメール承認(二段階認証)を使うかどうかを参照してください。
メール承認の提供開始後に使えるようになること
メール承認の提供を始めると、会社ごとの「使用する／使用しない」の設定にかかわらず、すべての会社で次の機能が使えるようになります。信頼済み端末だけは、メール承認が必要な利用者(所属先に「使用する」会社がある場合)で働きます。
| 機能 | 内容 |
|---|---|
| 信頼済み端末 | メール承認が必要な利用者が承認を済ませたブラウザでは一定期間(初期値30日)承認メールを省略します。期間はログインしても延長されません。運営のアカウントには適用されません。 |
| ログインの有効期限 | 認証から24時間で再ログインが必要になります。 |
| アクセスの通知 | 新しい認証でその会社の画面が使われると、本人とその会社のクライアント管理者へ「新しい認証セッションからのアクセス」メールが届きます。 |
| 全端末からログアウト | 本人が「アカウント設定」から、すべての端末のログインと個人のMCP連携を終了できます(アカウント設定)。 |
| スタッフを会社からログアウト | 管理者が、対象スタッフのその会社でのログインを終了できます(サブアカウント)。 |
| パスワード・メールアドレス変更時の再認証 | 変更の前に承認メールで本人確認をします。変更が終わると、すべての端末のログインと個人のMCP連携が終了します。 |
2. スタッフごとのアカウントと権限
共有のIDとパスワードを複数人で使うと、誰が操作したかが分からず、退職した人もログインできたままになります。サブスクラインでは、スタッフ1人ごとに自分のメールアドレスでアカウント(サブアカウント)を作れます。
| できること | 内容 |
|---|---|
| 1人1アカウント | スタッフごとに、自分のメールアドレスでログインするアカウントを招待できます。 |
| ロールで分ける | 「クライアント管理者」「管理者」「一般スタッフ」の3種類から選びます。 |
| 機能ごとに絞る | 一般スタッフは、表示できる画面と、作成・編集・削除・エクスポートなどの操作を機能ごとに許可します。 |
| 停止・削除 | 退職・異動したスタッフのアカウントは、停止してログインできなくするか、削除します。 |
設定の手順はサブアカウントを参照してください。
3. データの持ち出しを制限する
- 会員一覧のCSV出力は、エクスポートの権限を持つアカウントだけが使えます。画面の表示だけでなく、サーバー側でも権限を確かめています。自動応答・クーポンなどの設定のエクスポート・インポートも同様です。
- 会社のアカウントから会員一覧などの個人情報を含むCSVをメールで送る場合、送り先に指定できるのは会社の登録メールアドレスか、有効なメンバーのメールアドレスだけです。それ以外のアドレスへは送れません(ユーザー一覧参照)。お客様の依頼を受けて運営のサポート担当が送る場合は、この制限の対象外です。
- AIやMCPで連携するための接続トークンは、一覧から無効化・再発行できます。漏れた可能性があるときや使わなくなったときは、すぐに無効化してください(Claude / ChatGPT と連携する)。
4. お客様のカード情報
お客様がLINEの会員ページで入力するカード番号・有効期限・セキュリティコードは、決済代行会社 Stripe が提供する入力欄に直接送られます。カード番号とセキュリティコードは、サブスクラインのサーバーやデータベースには保存しません。 決済はStripeに登録されたカード情報で行います。画面でどのカードかを示すため、カードのブランド・下4桁・有効期限だけを保存しています。
5. 通信とデータベースの保護
サブスクラインはAmazon Web Services(AWS)の東京リージョンで運用しています。
| 対象 | 対策 |
|---|---|
| 通信 | 管理画面・会員ページとの通信はHTTPSで暗号化します(TLS 1.2以上)。HTTPでアクセスした場合はHTTPSへ転送します。 |
| データベース | 保存するデータを暗号化しています。インターネットから直接接続できない場所に置いています。 |
| バックアップ | データベースを自動でバックアップし、7日分を保持しています。誤って削除できないよう削除保護を有効にしています。 |
| 操作の記録 | AWS上の設定変更などの操作を記録し、記録の改ざんを検知できるようにしています。 |
| 不審な動きの検知 | 不審な通信や操作を自動で検知し、運営へ通知しています。 |
6. 管理者が設定しておくこと
会社の管理者は、次の項目を確認してください。
- 共有アカウントをやめる。 スタッフごとに、自分のメールアドレスでサブアカウントを作ります。
- 権限を必要な範囲に絞る。 一般スタッフには、業務で使う機能だけを許可します。CSV出力などのエクスポートは、必要な人にだけ許可します。
- 退職・異動のときはすぐに停止する。 使わなくなったアカウントは停止または削除します。
- 二段階認証に備える。 全員が自分で受信できるメールアドレスでログインできる状態にしておくと、提供開始後、サポートへの依頼ですぐに有効にできます。
- パスワードを使い回さない。 他のサービスと同じパスワードは使わないでください。
- 接続トークンを共有しない。 MCPやAPIの接続トークンはパスワードと同じ扱いにし、不要になったものは無効化します。
取引先からセキュリティについて質問されたとき
このページは、サブスクラインの主な対策の概要です。正式な回答書や、ここに書かれていない項目(第三者認証の取得状況など)が必要な場合は、サポートへお問い合わせください。