Trust you can verify,
行レベルセキュリティ、最小権限 RBAC、追記専用の監査証跡、書き込み専用 Vault。
UI ではなくデータベースで執行
すべてのテーブルが行レベルセキュリティでゲートされ、同じロール制限がダッシュボード・REST・WebSockets・MCP で完全に同一に効きます。チェックを忘れた裏口のサーフェスは存在しません。
最小権限を、本当に
25 個の独立して権限設定できるセクションがあり、それぞれに個別の閲覧・編集スイッチがあり、カスタムロールに組み合わせられます。契約者に Scripts-edit を与えずに Devices-view だけを与える——オール・オア・ナッシングではなく、精密な制御です。
誰が、何を、いつ——どこでも
追記専用の監査ログが、データベースへの直接アクセスも含めて全サーフェスの全アクションを記録。ライブで追い、フィルターし、変更をディフし、該当イベントへのパーマリンクを共有できます。
読み戻せないシークレット
ボールトはキーを暗号化し、書き込み専用で保存します。どの画面にも開示ボタンやUIはありません——MCPツールもなく、ダッシュボードでの開示もなく、BusyBro はシークレットの名前だけを一覧表示でき、値は決して表示しません。シークレットは一度入力されると、使用されるだけで、決して表示されません。
ガードレール付き AI
エージェントは呼び出し元のロールの範囲内でのみ行動し、破壊的なツールは明示的な確認を要求、すべての行動が永続的に記録されます。自律性に、記録という裏付けを。
信じる前に
外部から半日で確認できる 3 つのこと。営業との通話も NDA も要りません。
- 01
レスポンスヘッダーをスキャンする
busymate.dev 上の HTML ページを公開ヘッダスキャナーまたは HTTP クライアントでスキャンしてください。以下の表はマーケティングサイトのレスポンスポリシーを説明しています。ダッシュボードを含むその他のサービスは個別の設定があります。使用している正確な URL を確認してください。予期しない結果が得られた場合は、その URL とレスポンスヘッダーを報告してください。
- 02
監査ログを自分で読む
ダッシュボードで監査ログを開きます。ライブで流れるので、デバイスの名前変更や SSL リストへのホスト追加など何か操作をして、誰が・どのサーフェスから・いつ行ったかを伴ってイベントが現れるのを確認してください。特定の実行者やデバイスで絞り込み、変更された設定を以前の値と比較し、パーマリンクをコピーできます。AI エージェントの操作もまったく同じ種類のイベントになります。エージェントも同じログに書き込むからです。
- 03
見つけたことを報告する
本来あるべきでないヘッダー、権限以上のものが見えるロール、シークレットを読み戻す方法を見つけましたか？試したことと確認したことをサポートのアドレスにお送りください。セキュリティ報告はその領域を担当するエンジニアに直接届き、修正が完了したらお知らせします。
Strict-Transport-Securityサブドメインを含む長い max-age。リンクが http でもブラウザは HTTPS を使い続けます。
Content-Security-Policyスクリプトやフレームの読み込み元を指定するポリシー。注入されたスクリプトには読み込む場所がありません。
X-Content-Type-Optionsnosniff 値。ブラウザは推測ではなく宣言されたコンテンツタイプを信頼します。
X-Frame-OptionsDeny。ページを他サイトのフレームに埋め込めないため、クリックジャッキングを封じます。
Referrer-Policystrict-origin ポリシー。サイトをまたぐ遷移で、遷移元の完全な URL が漏れることはありません。
Permissions-Policyカメラ・マイク・位置情報は無効。サイトが使わない機能を要求することはありません。
責任ある開示はサポートページ経由で行います。そこに記載のアドレスは、修正できる担当者に届きます。 サポート
それぞれの保証が
保証の強さはそれを強制するレイヤーの強さで決まります。ここにあるのが、各保証に対応するそのレイヤーです。
ロールと権限データベースの行レベルセキュリティ。ダッシュボード、REST、WebSocket、MCP は同じルールで同じテーブルを読むため、サーフェスを変えてもロールの制限は回避できません。
監査ログデータベース自身が書き込む追記専用の記録で、直接のデータベースアクセスも含みます。ダッシュボードがライブで追跡し、エージェントも同じツールで読み取ります。
シークレット保管庫保存時に暗号化され、どのサーフェスからも書き込み専用。値を解決するのはサーバー側コードだけで、使用する瞬間にのみ行われ、表示されることはありません。
エージェントの操作呼び出し元のロール、破壊的なツールごとの確認、そして同じ監査ログ。これらはエージェントが通信するサーバー側で強制され、クライアント側で行われることはありません。
キャプチャしたトラフィック端末上またはご自身のプロキシ上で復号。同期したエントリはプラットフォーム共通の 10 日間保持され、いつでも削除できます。
Questions evaluators
RBAC は UI とデータベースのどちらで執行されますか？
データベースです——全テーブルが RLS でゲートされ、同じロール制限がダッシュボード・REST・WebSockets・MCP で等しく効きます。
管理者は保存済みシークレットを読み戻せますか？
いいえ——どの画面にも開示ボタンやUIはありません:MCPツールはありません(名前を一覧表示するツールのみ存在します)、ダッシュボードでの開示もなく、BusyBro はシークレットの名前だけを一覧表示できます。シークレットは AEAD 暗号化されたボールトに書き込み専用で保存され、使用時にのみサーバー側コードから利用されます。
AI エージェントの行動に監査ログはありますか？
はい——エージェントの全行動は、データベース直接アクセスも含めて、追記専用・クロスサーフェスの監査ログに永続的に記録され、ライブ追跡・フィルター・ディフ・共有可能なパーマリンクに対応します。
外部委託先に限定アクセスを付与できますか？
はい——25 個の独立して権限設定できるセクションがそれぞれ個別の閲覧/編集スイッチを提供し、カスタムロールに組み合わせられます。例:Scripts-edit なしの Devices-view。
脆弱性はどのように報告すればよいですか？
サポートページに記載のアドレスへ、試したことと確認したことをお送りください。現時点でバグバウンティ制度はありません。報告はその領域を担当するエンジニアに直接届き、修正が完了したらお知らせします。
キャプチャしたデータはどこに、どのくらいの期間保存されますか？
復号は端末上またはご自身のプロキシ上で行われます。同期したエントリはプラットフォーム共通の 10 日間、ご自身のアカウント配下に保存され、その後自動的に削除されます。いつでもそれより早く削除できます。