セキュリティと暗号化
私たちのセキュリティへの取り組みは、文書化され、検証可能で、透明です。
MITRE ATT&CK Mobileのカバレッジ
私たちの機能は、MITRE ATT&CK Mobileフレームワークに対応した複数のセキュリティチェックに基づいています。MITRE ATT&CK Mobileは、スマートフォンを狙う攻撃手法をまとめた公開のナレッジベースです。
脅威モデル
Trasimèneは、MITRE ATT&CK Mobileフレームワークに記載された脅威を対象とします。フィッシングとクイッシング、悪質なアプリケーション、ネットワーク傍受（MITM）、データ漏洩やスパイウェアなどです。検知の正確な範囲は、各プラットフォーム（Android、iOS）が提供する機能に依存します。私たちは、アプリケーションが何を検知でき、何を検知できないかを文書化し、100%の保護を約束することはありません。
標準への準拠
OWASP Mobile Top 10、OWASP MASTG、NIST SP 800-63B、GDPR、ISO 25010が、私たちの選択の指針となっています。サーバーとウェブサイトは自動テストでカバーされており、2026年10月時点で、ウェブサイトには1,700件以上のテスト、サーバーには300以上のテストファイルがあります。責任ある開示に関する私たちのポリシーは公開されており（security.txt）、すべての報告に受領確認と回答をお送りします。第三者が検証した内容は、証拠と透明性のページにまとめています。
暗号化
保管庫にはAES-256-GCM、アプリ、ウェブサイト、私たちのサーバー間の通信にはTLS 1.2と1.3、VPNにはWireGuardを使用しています。保管庫の暗号鍵はGoogle Cloud Secret Managerに保管され、アカウントごとに1つの鍵があります。
鍵とシークレットの管理
保管庫の暗号鍵（アカウントごとに1つ、ランダムに生成）とインフラのシークレットは、Google Cloud Secret Managerに保管され、Googleによって保存時に暗号化され、常に利用できるよう自動的に複製されます。これらへのアクセスは、Google CloudのIAM権限により、Trasimèneのサービスと権限を持つ担当者に限定されており、保管庫の鍵の読み取りはすべてログに記録されます。鍵がスマートフォンに送られることは決してありません。保管庫の中身はAES-256-GCMで暗号化され、カード情報は当社では一切保存しません。
データの保存場所
ウェブサイト、API、データ（アカウント、結果、暗号化された保管庫）は、Google Cloud（europe-west1リージョン、ベルギー、EU）でホストされています。VPNサーバーは、19か国（うち5か国はEU域内）でGoogle Cloudから借りているマシンで、Trasimèneが構築・管理しています。データが販売されることはありません。サービス提供事業者およびEU域外への移転については、プライバシーポリシーに詳しく記載しています。
プライバシー
データが販売されることはなく、アプリに広告が表示されることもありません。Trasimèneはサービスに必要なデータを収集します。アプリはまた、利用状況の測定値をFirebase AnalyticsとPostHogに送信し（アプリの設定の「使用状況の分析」でオフにできます）、エラーレポートをSentryとFirebase Crashlyticsに送信します。Androidまたはtrasimene.comでアカウントを作成する際に同意した場合、当社のキャンペーンの効果を測定するため、アカウントの作成とサブスクリプションの登録がMeta、TikTok、Snapchat、LinkedIn、Google Analyticsに通知されます。同意がなければ何も送信されず、iPhoneから送信されることも一切ありません。詳細と同意の撤回方法は、プライバシーポリシーに記載しています。
責任ある開示
脆弱性を見つけましたか？contact@trasimene.com までご連絡ください。回答までの期間、誠実に活動する研究者への私たちの約束、そして謝辞は、証拠と透明性のページで公開しています。このページは、私たちのsecurity.txtファイル（/.well-known/security.txt）で示されています。