JoyPDFのセキュリティ

JoyPDFのセキュリティモデルは、従来のクラウドベースPDFツールとは根本的に異なります。ファイルをリモートサーバーにアップロードして処理する代わりに、すべての操作はWebAssembly（WASM）とJavaScriptを使用してブラウザ内でローカルに実行されます。

つまり、契約書、財務報告書、医療記録、法的書類などの機密ドキュメントは、インターネットを経由しません。開始から完了まで端末上に留まります。サーバーサイドストレージ、一時的なクラウドキャッシュ、サーバーサイドデータ侵害がファイルに影響を与える可能性はありません。

このアーキテクチャは、セキュリティリスクのカテゴリ全体を排除します：

• ファイルの転送中データリスクなし — ブラウザサンドボックスから出ません

• サーバーサイドストレージなし — クラウドベースのデータ漏洩リスクゼロ

• ドキュメント内容への第三者アクセスなし

• 残留データなし — タブを閉じれば、処理データはメモリから解放されます

joypdf.appとの間のすべてのトラフィックは、強力な暗号スイートを使用したTLS 1.3で暗号化されています。すべてのエンドポイントでHTTPSを強制し、HTTP Strict Transport Security（HSTS）を実装してダウングレード攻撃を防止しています。

DNSレコードはDNSSECで保護され、Content Security Policy（CSP）を使用してクロスサイトスクリプティング（XSS）およびコードインジェクション攻撃を軽減しています。

実装しているセキュリティヘッダー：

• `Strict-Transport-Security` — HTTPSを強制

• `X-Content-Type-Options: nosniff` — MIMEタイプスニッフィングを防止

• `X-Frame-Options: DENY` — クリックジャッキングを防止

• `Referrer-Policy: strict-origin-when-cross-origin` — リファラー漏洩を制限

• `Content-Security-Policy` — リソース読み込みを制限

AI搭載機能（AI Summary、AI Translate、AI Agent）を明示的に選択した場合、抽出されたテキスト内容のみがセキュアなAPIを通じてAI処理パートナーに送信されます — 元のPDFファイル、画像、メタデータは送信されません。

AI機能のデータフロー：

1. テキストはブラウザ内でPDFからローカルに抽出されます

2. 抽出されたテキストは暗号化されたHTTPS経由でAPIエンドポイントに送信されます

3. APIがリクエストをAIモデルプロバイダーに転送します

4. AI応答がストリーミングされ、ブラウザにレンダリングされます

5. リクエスト完了後、テキストや応答はサーバーに保存されません

AIプロバイダーがデータをモデルトレーニングに使用することを明示的に禁止しています。これは契約上強制されています。

ユーザー認証は、エンタープライズグレードのIDプラットフォームClerkが処理します。Clerkが提供する機能：

• bcryptによる安全なパスワードハッシュ

• 多要素認証（MFA）サポート

• OAuth 2.0 / OpenID Connectソーシャルログイン

• 安全なHttpOnly Cookieによるセッション管理

• ブルートフォースおよびボット保護

• SOC 2 Type II認定インフラ

JoyPDFは以下への準拠を目的として設計されています：

• GDPR — EU一般データ保護規則

• CCPA — カリフォルニア州消費者プライバシー法

• ePrivacy Directive — EU電子通信プライバシー指令

• LGPD — ブラジル一般データ保護法

• PIPEDA — カナダ個人情報保護および電子文書法

ゼロアップロードアーキテクチャは、ドキュメントデータがインフラに到達しないため、本質的にコンプライアンスを簡素化します。

セキュリティの脆弱性を真剣に受け止めています。セキュリティ上の問題を発見された場合は、security@joypdf.app まで責任ある方法でご報告ください。当社のコミットメント：

• 48時間以内に報告を確認

• 修復進捗について定期的な更新を提供

• 善意のセキュリティ研究者に対する法的措置を取らない

• 発見された脆弱性について研究者に（許可があれば）クレジットを記載