信頼
分離モデル、暗号化、認証情報の扱い、そしてまだ作れていない部分。
01
どのプロジェクトも専用のデータベースセルで動きます。専用の PostgreSQL プロセス、専用のストレージ、専用の認証情報、そして OS が強制する CPU とメモリの上限。共有データベースも、共有スキーマも、二人の顧客のあいだに立つ行レベルの区切りもありません。
分離の議論はこれで全部で、意図的に地味です。隣人が騒がしくてもメモリを食い尽くされないのは、上限が共有されていないからです。他テナントのクエリのバグがデータに届かないのは、そのプロセスからは見えないからです。
K/V ストアも同じ扱いです。プロセス、メモリ上限、ストレージ、認証情報のいずれも専用です。あなたのデータベースにも公開インターネットにもネットワーク経路を持たず、到達できるのは認証済みエンドポイントだけです。
02
標準セルはループバックだけを持つプライベートなネットワーク名前空間で動きます。インターネットにも、他のセルにも、コントロールプレーンにも外向きの接続を開けません。ポリシーで禁じているのではなく、経路そのものが存在しないからです。
クライアントの通信は、ルーティング層が渡すソケット経由でセルに届きます。外部へ通信する拡張機能が標準セルで使えないのはまさにこの理由で、境界をこっそり緩めるくらいなら断ります。
03
04
ルーティング層は PostgreSQL の SCRAM 認証をそのまま中継します。データベースのパスワードを見ることも、保持することも、再構成することもありません。チャレンジと応答を転送し、あとは黙って脇に退きます。
組織 API キーはハッシュとしてのみ保存され、発行後に読み出すことはできません。紛失した場合はローテーションしてください。ライフサイクル操作のためにコントロールプレーンが保持するプロジェクト単位のデータベース認証情報は、隣に置いていない鍵で保存時に暗号化されています。サインインは専用の ID プロバイダーに委譲しているため、パスワードがどんな形でも当社のシステムに存在することはありません。
05
06
本番へのアクセスはプラットフォームを運用する人に限られ、肩書きではなく必要性に応じて付与され、多要素認証が必須です。ノードへのアクセスは認証済みの経路のみ。共有ログインも、開きっぱなしのコンソールもありません。
運用者がセルの中身を読むのは、依頼を受けたサポートのときか、それ以外に解決できない障害のときだけです。どちらも記録され、求められればその記録をお見せします。
07
08
ノードとセルの健全性、バックアップの鮮度、復元の検証、リソース圧迫を継続的に取得し、人に通知します。リージョンごとの可用性はステータスページで公開しています。
お客様に影響する障害が起きたら、聞かれるのを待たずにメールとステータスページでお知らせします。個人データ侵害が通知の閾値に達した場合は、データ処理契約の期限が適用されます。
09
CapyDB は SOC 2 レポートも ISO 27001 認証も保有しておらず、HIPAA の BAA も提供していません。質問票で気づかれるより、セキュリティのページで先に申し上げます。
提供しているもの：初日から有効なセルフサービスのデータ処理契約、公開された再委託方針、セルとバックアップの EU データレジデンシー、そしてどんなセキュリティ質問票にも率直に答える姿勢。認証が購買の必須要件であれば、ぜひ教えてください。私たちにとって有用な情報です。
10
security.txt に記載のアドレス宛に送るか、直接ご連絡ください。再現できるだけの情報を添えてください。速やかに受領をお知らせし、判明した内容をお伝えし、ご希望であればクレジットします。有償の報奨金プログラムはありません。
ご自身のプロジェクトに対するテストは歓迎です。他テナントに対するテストや、プラットフォームへの大量トラフィック攻撃は認められません。事前警告なしにアカウントを停止する唯一の行為がこれです。