セキュリティ
テナントデータの取り扱い方法。
トライアルと共有データはEU（パリ）で共有されるSupabase Postgresプロジェクトに、有料ワークスペースは購入時に選んだリージョンにある専用のSupabaseプロジェクトに保存されます。デバイスエージェントはローカルでポリシーを適用し、クラウドエッジがポリシー、ブロックイベント、エンロールメント記録をテナントごとに区切って保持します(Spot Cloud B.V.のもと)。
-
Spot Suite OIDCサインイン
コンソールのサインインには、spot-cloud.spot-suite.com の Spot Suite OIDC を通じて Spot Suite アカウントを使用します。Business プランでは Microsoft Entra ID のシングルサインオンも利用できます。デバイスエージェントはユーザーのパスワードを一切見ません。
-
テナントごとのデータ
トライアルと共有データはEU（パリ）で共有されるSupabase Postgresプロジェクトに、有料ワークスペースは購入時に選んだリージョンにある専用のSupabaseプロジェクトに保存されます。
-
テナント単位のデータ
ポリシー、ブロックイベント、エンロールメント記録はテナント単位に限定されます。顧客の境界を越えてデータが共有されることはありません。
-
データレジデンシー
トライアルはEUで動作します。有料ワークスペースは購入時に選んだリージョンで動作し、そのデータベースもそこに保管されます。リージョンにかかわらず、共有バンドルファイル（R2）と毎時のバックアップダンプは西ヨーロッパのCloudflareオブジェクトストレージに置かれ、EUの管轄には固定されていません。運営はSpot Cloud B.V.です。
-
監査ログとエクスポート
ブロックイベントはデバイス、ドメイン、カテゴリ、ソース、タイムスタンプを記録します。コンソールでは直近25件のイベントをCSVまたはJSONとしてエクスポートできます。
-
ハッシュ化デバイス認証情報
管理対象エージェントはデバイスごとのcsk_ APIキーで認証し、サーバー側でsha256ハッシュ化されます。キーはエンドポイント上で0600権限で保存されます。
-
署名付きインジケータバンドル
脅威フィードはed25519署名付きgzipバンドルとして配信されます。エージェントはインジケータを適用する前に署名を検証します — オフラインキャッシュは最後に検証されたバンドルを保持します。
-
TLS復号なし
適用はDNSのみです。ブロックされたドメインはローカルブロックページへ解決されます。ポリシーパスにTLSインスペクション、PACファイル、ネットワークゲートウェイはありません。Linux では、ブロックされた HTTPS サイトでブロックページの代わりにブラウザーの証明書警告が表示される場合があります。
-
GDPR · DORA · NIS2
プラットフォーム統制はGDPR、DORA、NIS2にマッピングされています。監査証拠と統制マッピングパックはNDAの下で共有されます。