セキュリティポリシー
最終更新: 2026年9月1日
Mermaid Live — Diagrams & PDF Export for Confluence（以下「本アプリ」）は、Scritt Solutions（以下「当方」）が開発・運営する Confluence Cloud 向けアプリです。本ポリシーは、当方が本アプリと、その開発・公開に使うシステムをどのように保護しているかを説明します。本アプリが何をどれだけの期間保存するかはプライバシーポリシーをご覧ください。
1. 当方について・本ポリシーの範囲
本アプリは、埼玉県所沢市の亀井亮介が営む個人事業 Scritt Solutions が開発・運営しています。保守にあたるのは1名です。本ポリシーには、その1名が本アプリ自体と、公開に使うアカウントやツールに対して実施し、維持している管理策を記載しています。連絡先は support@scritt.com です。
2. 本アプリの動作環境
本アプリは Atlassian の Forge プラットフォーム上だけで動作します。 バックエンドの関数は Atlassian が運用する基盤で実行され、画面は Atlassian のドメインから配信され、データは Forge のアプリストレージとお客様自身の Confluence サイトに保存されます。外部通信の権限（external permissions）を一切宣言していないため、Atlassian の外にあるサーバーへの通信は Forge プラットフォーム自体が遮断します。
当方は本アプリのための独自サーバーを運用していません。scritt.com が提供するのはこのドキュメントだけで、本アプリからデータを受け取ることはありません。
4. 権限と最小権限の原則
本アプリが要求する Confluence のスコープは5つで、それぞれ用途が1つに決まっています。
- read:page:confluence: PDF・Word エクスポート時にページ本文を読み、図の画像を配置するため。
- read:content-details:confluence: マクロが置かれているページやコンテンツを識別するため。
- write:attachment:confluence: 描画した図を PNG として同じページに添付するため。
- read:attachment:confluence: エクスポート時にその PNG を読み出すため。
- storage:app: 本アプリ自身のレコード（添付ファイルへの参照と、図のソースおよび SVG の控え）を Forge ストレージに保持するため。
保存済みの図を本アプリが修復するときは、ページを閲覧している本人の権限で書き込みます。閲覧専用のユーザーが本アプリを通じて保存内容を書き換えることはできません。
5. 当方のシステムへのアクセス
本アプリの開発と公開に関わるすべてのアカウント（Atlassian の開発者アカウント、ソースコードを置く GitHub アカウント、本サイトをホストする Vercel アカウント）で多要素認証を有効にしています。ソースコードは非公開の GitHub リポジトリにあり、保守者は1名です。
当方は Forge ストレージの外にお客様のデータの複製を持たず、本アプリがそこに保持する内容を当方が読むこともできません。本アプリが当方に何かを送信することもありません。サポートのお問い合わせでは、お客様が共有を選んだ情報だけをもとに対応します。
6. 開発とリリースの管理
デプロイの前には毎回、本アプリの自動テストを実行します。バックエンド、共有ドメインパッケージ、2つのブラウザ向けバンドルそれぞれのユニットテストと、TypeScript の型検査です。いずれかに失敗した変更はリリースしません。
すべての依存パッケージはロックファイルで固定しており、ビルドには当方が確認したバージョンだけが使われます。本アプリは実行時にサードパーティのスクリプトを読み込みません。2つのブラウザ向けバンドルは、固定したパッケージから当方自身がビルドしています。
デプロイは、保守者が認証した Forge CLI から行います。お客様のサイトへの更新は Atlassian が Forge を通じて配信するため、当方から直接ファイルをインストールすることはなく、マイナー更新はお客様側の操作なしに反映されます。新しい権限を追加する更新は、お客様のサイト管理者が承認してから有効になります。
7. 脆弱性管理
GitHub Dependabot が本アプリの依存パッケージを監視し、新しく公開されたアドバイザリを当方に通知します。加えて、リリースの前には毎回 npm audit を実行します。Mermaid.js のリリースを追跡し、同梱するレンダラーを更新することで、上流のセキュリティ修正が下記の期限内に本アプリへ反映されるようにしています。
各脆弱性は CVSS スコアで評価し、Atlassian が Marketplace アプリに定める期限内に修正します。Critical（9.0以上）は10日以内、High（7.0〜8.9）は4週間以内、Medium（4.0〜6.9）は12週間以内、Low（4.0未満）は25週間以内です。発見者が Atlassian、お客様、研究者、当方自身のいずれであっても同じ期限を適用します。
8. 脆弱性の報告
本アプリまたは scritt.com にセキュリティ上の問題を見つけたと思われる場合は、再現手順を添えて support@scritt.com までメールでお知らせください。すべての報告に2営業日以内に受領の返信をします。
当方は調査結果をお伝えし、修正が終わるまで経過をお知らせし、ご希望があれば謝辞を掲載します。詳細を公開する前に修正の時間をいただくこと、また検証の際にご自身のものでないデータへのアクセス・変更・削除を行わないことをお願いします。バグバウンティ制度はありません。
9. セキュリティインシデントへの対応
セキュリティインシデントとは、本アプリを通じてお客様のデータが漏えい・改ざん・消失する事象、または本来持たない権限で本アプリを使えてしまう事象を指します。インシデントを把握したとき、当方は次の手順で対応します。
- 事実を確認し、影響を封じ込めます。修正のデプロイ、または修正が整うまで該当機能を停止することを含みます。
- 根本原因を修正し、Forge を通じてデプロイし、テスト用サイトで修正を検証します。
- Marketplace のセキュリティ要件に従い、Marketplace パートナーサポートの窓口を通じて Atlassian に報告します。
- Atlassian が Marketplace パートナーに提供する連絡先情報と本アプリのリリースノートを通じて、影響を受けるお客様に遅滞なく通知し、何が起きたか、どのデータが関係したか、当方が何をしたかをお伝えします。
- 経緯と再発防止のために変えた点を記録し、管理策が変わった場合は本ポリシーを更新します。
10. ログと監視
本アプリのバックエンドは診断ログを Forge に書き出し、Atlassian がそれを保管します。ログの各エントリには、関係するページやマクロの識別子と Confluence API 呼び出しの結果が含まれることがあります。図の内容、氏名、メールアドレスが含まれることはありません。当方は報告やエラーを調査するときにこのログを参照します。本アプリはアクセス解析を行わず、トラッキング用スクリプトも読み込みません。
11. 本ポリシーの変更
当方の運用が変わったときは、このページを更新し、冒頭の日付を変更します。重要な変更は Marketplace のリリースノートにも記載します。
12. お問い合わせ
セキュリティに関するご質問や報告: support@scritt.com。2営業日以内に返信します。