よくある質問
登録前の疑問から、診断結果の見方、ファイルとAIの情報の扱いまで。
利用開始・アカウント
EXTONE Secureは、どのようなサービスですか？
kintoneのテンプレートやプラグインのファイルを添付して、コードに潜むリスクを確認するサービスです。運用前の管理者・業務担当者の確認や、開発担当者へ修正を相談する材料として利用できます。実際のkintone環境全体を診断するものではありません。
登録には何が必要ですか？
メールアドレス・パスワード・お名前・会社名またはチーム名の入力と、利用条件への同意が必要です。登録後、届いたメールのURLを開き、承認画面で「承認する」を押すと診断を始められます。
kintoneのアカウントやログイン情報の登録は必要ですか？
ファイル診断のために、kintoneのアカウントやログイン情報をSecureへ登録する必要はありません。Secureのアカウントと診断するファイルを用意してください。kintoneからテンプレートを書き出す操作には、kintone側の権限が必要です。
kintoneへの接続やプラグインのインストールは必要ですか？
現在のファイル診断では不要です。書き出したテンプレートや配布用プラグインをSecureへ添付します。診断のために、稼働中のkintoneアプリの設定を変更する必要はありません。
解決しない疑問は、どこへ問い合わせればよいですか？
サービスの利用に関する疑問は、お問い合わせフォームからご連絡ください。診断で指摘されたコードの修正については、開発担当者や提供元へ確認してください。
料金・回数上限
無料で何回診断できますか？
無料・期限なしで、1つの組織につき月10回まで診断できます。回数は利用者ごとではなく組織単位です。
有料サービスはありますか？
現在は無料サービスのみ提供しています。今後、より高度な診断機能を有料で提供する予定です。提供時期・内容・料金は、決まり次第お知らせします。
診断回数の上限を増やせますか？
現在は、1つの組織につき月10回の固定上限です。回数の追加購入や上限の変更は受け付けていません。
診断できなかった回も、無料回数に数えますか？
対象外のファイルや、診断できなかった回は数えません。ただし、診断が完了し、結果の中に「確認できなかった項目」がある場合は、診断回数に数えます。
月の上限に達したら、いつ再び診断できますか？
無料回数は日本時間の月単位で集計され、翌月1日から新しい月の枠で診断できます。残り回数はダッシュボードで確認してください。
診断対象・仕組み
どのファイルを添付できますか？
kintoneのアプリテンプレート（.zip）・スペーステンプレート（.sptpl）・プラグイン（.zip）に対応しています。1ファイル50MBまで添付できます。ファイルの種類は中身から自動判定します。一般の文書や、任意のZIPすべてを診断するサービスではありません。
どのように診断していますか？
ファイルを展開し、含まれるコードを実行せずに調べます。危険な書き方や秘密情報らしき値を検査ルールと照合し、確認できる依存ライブラリの情報を既知の脆弱性情報と照合します。AIの補足説明は、こうした検査とは別の任意機能です。
どのようなリスクを確認できますか？
危険なHTMLの扱い、パスワードやAPIキーらしき値の埋め込み、既知の脆弱性がある依存ライブラリなどを確認します。外部への通信先なども確認の材料として表示します。ファイルの内容によって、確認できる項目は異なります。
生成AIで作ったkintoneカスタマイズも診断できますか？
対応するテンプレートやプラグインに含まれていれば診断できます。作成方法を問わず同じ検査を行います。動作するコードでも、情報の扱いや画面表示の安全性を運用前に確認してください。
診断できない範囲はありますか？
実環境の権限設定、業務ロジックの正しさ、すべての脆弱性を網羅するものではありません。外部URLのコードを取得して調べることはせず、URLから名前と版を確認できる一部のライブラリは脆弱性情報と照合します。同梱ライブラリも、版などを特定できない場合があります。検査しきれない項目は、結果で確認してください。
結果の見方・対応
診断結果は、どこで確認できますか？
診断が完了するとメールでお知らせします。ダッシュボードから診断の詳細を確認できます。ファイルや検査内容によって所要時間は異なります。
「要対応」「要確認」「情報」「確認できなかった項目」は、どう違いますか？
「要対応」は重大度が高い指摘、「要確認」は使い方や目的と照らして確認する指摘です。「情報」は通信先など把握しておきたい内容、「確認できなかった項目」は自動の検査で確認しきれなかった内容です。確認できなかった項目を「問題なし」と扱わないでください。
指摘が見つかったら、どうすればよいですか？
指摘の内容、ファイル名や箇所、考えられる影響を確認し、開発担当者や提供元へ相談してください。Secureがコードを自動修正したり、kintoneへ変更を反映したりすることはありません。
指摘がなければ、安全に使えると考えてよいですか？
安全性を保証するものではありません。見逃しや誤検出があり、ファイルから確認できないリスクもあります。結果は運用判断の材料として使い、必要に応じて開発担当者によるレビューや実環境の確認を行ってください。
ファイル・情報保護
アップロードしたコードは実行されますか？
アップロードされたコードは実行しません。ファイルの検査は外部と通信できない環境で行います。AIの補足説明を選んだ場合は、別の処理で必要なコード等をOpenAI社へ送信します。
アップロードしたファイルは、どのように保護されますか？
サービスとの通信にはHTTPSを使い、ファイルを実行せず、外部と通信できない環境で検査します。機密情報を含むファイルは、自社の規程や提供元との契約を確認し、アップロードする権限があるものだけを添付してください。これらの対策が、あらゆるリスクがないことを保証するものではありません。
ファイルや診断結果は、いつまで保存されますか？
ファイル・診断結果・詳細エラーは最大7日間保持した後、自動的に削除します。必要な結果は保存期間内に確認してください。任意のAI補足説明で外部へ送る情報の扱いは、AIに関する回答もご確認ください。
退会すると、情報はすぐ削除されますか？
アカウント設定から退会できます。会員情報は退会時に即時削除しますが、診断ファイル・結果・詳細エラーは退会後も調査用ログとして最大7日間保持します。操作の記録は、不正利用の調査と障害対応のため発生から3か月間保管します。
AIの利用
AIを使わずに診断できますか？
はい。「AIによる用途の推定と見解も作る」を選ばなくても診断できます。選ばなかった診断では、AIの補足説明のためにOpenAI社へコード等を送りません。
AIには、どのような情報が送られますか？
任意のAI補足説明を選んだ診断に限り、指摘箇所の前後のコード（小さいファイルは全文）・アプリ名・フィールド名をOpenAI社へ送ります。ZIP全体をそのまま送る方式ではありません。
アップロードした情報は、AIの学習に使われますか？
Secureでは、アップロードされたファイルをAIの学習に使いません。任意のAI補足説明にはOpenAI APIを利用しており、OpenAIの方針ではAPIのデータは既定でモデルの学習に使われません。学習利用と外部送信・保存は別です。送信時は応答を保存しない設定を指定しますが、OpenAI側の不正利用監視等に伴う保持までなくなるとは限りません。
AIへ送る前に、秘密情報は伏せられますか？
パスワードやAPIキーらしい値は送信前に伏せます。ただし、すべての秘密情報や機密情報を伏せられることを保証するものではありません。送信できない情報を含む場合は、AIの補足説明を選ばないでください。
AIの見解によって、診断の判定は変わりますか？
AIの見解は参考情報であり、検査の区分・重大度・件数は変わりません。AIによる説明の生成に失敗した場合も、ファイル診断の結果とは分けて表示します。