プライバシーとデータの取扱い

公開上の本人表示とデータ最小化

コメントは、名前付きゲスト、匿名ゲスト、アカウント名表示、またはサインイン中の匿名として投稿できます。公開上「匿名」のアカウントコメントも、所有権、モデレーション、不正利用対応のため内部ではアカウントに関連付けられます。匿名とは一般の閲覧者に対してのみ本人を表示しないという意味です。

アカウントとコメントの本人表示はテキストだけです。プロフィール写真、プロバイダーのアバター、利用者がアップロードした本人画像は表示・保存しません。公開レスポンスにメールアドレス、セッション ID、ネットワーク識別子、プロバイダートークン、モデレーション情報、匿名コメントの内部アカウント ID、ゲストキーの秘密値やダイジェストは含めません。

ゲストキー、ローカル保存、復旧

ゲスト編集キーは所持者権限です。完全なキーを持つ人はそのコメントを操作できます。ブラウザーがロケーターと 256 ビットの秘密値を生成し、サーバーはロケーターと秘密値の SHA-256 ダイジェストだけを保存します。このサイトは失われた秘密値を復元できません。キーは非公開にし、共有端末に保存しないでください。

最初の POST より前に、ブラウザーは生のキー、作成冪等性 ID、コンテンツ ID をブラウザーのローカルストレージへ永続的に仮保存します。コメント本文は複製しません。送信が確認または復旧されると、保存済みコメントへの対応としてキーを昇格します。レスポンス喪失やタブのクラッシュ時にも所有権を守るためです。ゲストキーページで保存済み・保留中のキーを削除するか、このサイトのブラウザーデータを消去できます。

別に保管した完全なキーがあれば、コメント ID を知らなくても該当する保留中・承認済み・却下済みコメントを復旧できます。ただしコメントと資格情報が保存期間内にある場合に限ります。ブラウザー内と別保存の両方を失うと、運営者は復旧できません。

不正利用対策、訪問者 Cookie、Turnstile

匿名書き込み経路では、ランダムなファーストパーティ HttpOnly __Host-visitor_id Cookie を最大 30 日設定することがあります。粗い不正利用対策信号だけに使い、分析、公開上の本人表示、所有権、広告には使わず、サイトの JavaScript からも読み取れません。

現在のリクエストについて Cloudflare が提供するネットワークアドレスから、用途を分離した制限値を一時的に導出します。生のアドレスと導出した制限キーは通常のアプリケーションデータとして保存・記録しません。長期のアプリケーション不正利用ハッシュが必要な場合は所有権資格情報と分離し、通常 30 日で失効します。

ゲストの書き込み、通報、キー復旧には Cloudflare Turnstile が必要な場合があります。ブラウザーはサーバー検証用のチャレンジ結果を送信します。Turnstile は訪問者 Cookie とは独立し、所有権を与えません。Cloudflare は同社の利用条件とプライバシー慣行に従ってチャレンジおよびネットワーク・ブラウザー信号を処理します。

モデレーション、削除、通報

ゲストコメントは通常、審査後に公開されます。承認済みコメントの編集は再審査に戻る場合があります。却下済みコメントは編集して再提出できますが、スパム指定コメントは編集できず、所有者による削除だけが可能です。削除時は公開本文が直ちに消え、返信ツリーの維持に必要な場合だけ最小限の削除表示が残ることがあります。

通報には構造化された理由と任意の自由記述詳細を保存します。ゲストの通報には Turnstile が必要で、認証済み通報にもレート制限があります。通報とモデレーションデータは権限のある管理に限定されます。自由記述メモは構造化監査記録より先に最小化し、コメント本文を不必要に複製するためには使いません。

保存期間

予定された物理削除がまだ実行されていなくても、読み取り時に失効を適用します。無活動期間は有効な所有者編集で動くことがありますが、絶対上限と固定失効は再開しません。明示された場合だけ、審査済みで期限のあるセキュリティ・プライバシー事故保全を設定できます。

• 通常の旧本文または削除本文: 14 日。既に保護中のスパム証拠は元のより遅い期限までに限られ、削除で期限を再開しません。
• 完了済み作成冪等性プロトコル記録: 24 時間。失効済みゲスト資格情報の検証値: 14 日。
• 一度も公開されていない保留本文: 無活動 30 日、作成から最大 180 日。
• 以前公開され、再審査中の本文: 無活動 90 日、その非公開期間は最大 180 日。
• 却下済み非公開本文: 既存の絶対上限を延ばさず、通常は却下から 30 日。スパム証拠: スパム決定から 30 日で、所有者は更新できません。
• 解決・棄却済み通報: 終了後 90 日。未解決通報の構造化ワークフロー記録は実際に未解決の間残りますが、自由記述詳細は期限付き監査保全がなければ 365 日後に最小化します。
• 保存されたアプリケーション不正利用識別子: 通常 30 日。モデレーション監査: 全メタデータ 90 日後に最小化し、通常は合計 365 日後に削除。

アカウント、セッション、連携ログインプロバイダー

Better Auth がサイトのデータベース内でアカウント、連携プロバイダー、セッション、検証、レート制限記録を管理します。GitHub と Google ログインは設定された最小スコープだけを要求します。同じメールによる自動連携は無効で、連携・解除は明示的に行い、少なくとも 1 つのログイン方法を残す必要があります。プロバイダーのアカウント情報とトークンをコメント行へ複製しません。

アカウントに OAuth トークンの保存が必要な場合、Better Auth が暗号化します。セッションは安全なファーストパーティ Cookie、オリジン・CSRF 検査、アカウントセキュリティ・セッション・認証レート制限のため Cloudflare 提供のクライアント IP アドレスを使います。任意の転送 IP ヘッダーは信頼しません。認証セッションの IP データをコメント、分析、モデレーションログ、通常のアプリケーションログへ複製せず、Better Auth のセッション・アカウントのライフサイクルに従います。

公開アカウント情報は検証済みのテキスト表示名に限定します。プロバイダーのアバターは使いません。ログインプロバイダーは独自のプライバシー条件に基づきサインイン活動を別途処理する場合があります。

アカウント削除

アカウント削除には十分に新しい検証済みセッションが必要で、再試行可能な処理として進みます。処理中は名前表示コメントを安全側で「削除済みユーザー」とし、匿名アカウントコメントは「匿名」のままにし、新しいアカウント所有の変更と連携を止めます。個別にコメントを削除しない限り、承認済みの技術的議論は残ります。

この処理は Better Auth アカウントと連携プロバイダー状態を削除し、アプリケーション記録の内部アカウント ID を切り離し、不要になった表示データを消去します。最小限の調整記録にプロバイダートークンやコメント本文は含まれず、完了後はユーザー ID を消して通常 30 日で失効します。古い復元物がアカウントを復活させないよう、先に最小復旧ジャーナルイベントを記録します。

バックアップ、復旧ジャーナル、復元

意味のある動的本番データが存在するようになったら、D1 エクスポートを毎日、同じ Cloudflare アカウント内の非公開バックアップ R2 バケットへコピーします。日次コピーは最大 90 日、月次復元ポイントは 12 個保持します。同一アカウントの二次コピーであるため、Cloudflare アカウントに関するすべての障害を防ぐものではありません。

災害復旧コピーには、バックアップのローテーションで除去されるまで、ライブアプリケーションで見えなくなったデータが物理的に長く残る場合があります。これは通常の管理者閲覧履歴ではありません。復元データベースは通常利用の前に論理失効とクリーンアップを直ちに適用します。

別の最小復旧ジャーナルは、本文、名前、メール、ゲスト秘密値、プロバイダートークン、セッショントークンを含めず、コメント・管理者・アカウント削除の意思を記録します。復元昇格時にこれを再適用し、古いコピーによる削除データの復活を防ぎます。必要なジャーナル範囲が欠落・破損していれば昇格を止めます。

すべての復元で、復元された Better Auth セッションと一時的な検証・OAuth 状態を無効にするため、再サインインが必要です。削除されていないアカウントに必要な暗号化済み連携アカウント・プロバイダー状態は残る場合がありますが、ジャーナル記録済みの削除アカウントは昇格前に削除または切り離します。