トラストセンター
セキュリティ
今日の製品に組み込まれているセキュリティ制御 - マーケティング上の救済なしに、明確に記載されています。
編集責任者: Security + Growth。最終レビュー済み 2026-09-20。レビューの頻度: 90 days.
アクセスとアイデンティティの制御
以下のすべてのコントロールは運用テナントに対して有効です。
| コントロール | 詳細 |
|---|---|
| ロールベースのアクセス制御 (RBAC) | ~60 名前付き権限;すべてのスタッフのアクションはアプリケーション層でゲートされます |
| 多要素認証（MFA） | TOTP ベース。すべてのスタッフアカウントに適用されます |
| OIDC スタッフサインイン | スタッフは OIDC プロバイダー経由で認証できます。 EndorsedSign パスワードが保存されていません |
| 認証情報の変更に関するパスワード ポリシー | すべてのパスワード作成および変更パスに対するプラットフォームによる最小限の複雑さ |
| セッション管理 | 有効期間の短いセッション トークン。オンデマンドで取り消し可能 |
| テナントごとの許可されたオリジンの制御 | Embed および API のアクセスは登録されたオリジンに制限されます。未登録のオリジンは拒否されました |
データと監査の管理
| コントロール | 詳細 |
|---|---|
| テナントデータの分離 | テナントが所有するすべてのレコードを対象とするテナント。有効なトークンでは、別のテナントからレコードを取得できません。 |
| 保存時の暗号化 | 文書と監査記録はテナント限定のストレージに暗号化されて保存されます |
| 追加専用の監査証跡 | ハッシュチェーンされたイベントログ。各イベントは前のハッシュを参照します。改ざんが検出可能 |
| 相関 ID | すべての API 呼び出しには、応答で返される X-Correlation-ID が含まれます。イベントと webhook 配信を監査するためのリクエストをリンクします |
| 通知内容に PHI が含まれていません | 通知本文にはリンクのみが含まれます。文書コンテンツ、PHI、電子メールまたは SMS の添付ファイルなし |
| 二人用PHI削除ゲート | HIPAA プロファイルで有効。文書の削除には 2 名の権限のあるスタッフの確認が必要です。監査証跡に記録されるイベント |
境界を強制する方法
テナント所有のドキュメント、エンベロープ、テンプレート、顧客、および監査イベントには、読み取りおよび書き込みのたびにチェックされるテナント識別子が含まれています。ストレージ パスはその識別子から生成されるため、あるテナントのファイルが別のテナントと混在することはありません。スタッフ セッションはテナントにバインドされています。これらは製品の制約であり、ガイドラインではありません。
このサイトでは、署名、保管、配送のためにベンダーのブランド名を公開しません。関数はサブプロセッサのページにリストされています。個人情報は機密保持契約に基づいて外部に流出します。
独立した認証と企業管理
これらのコントロールは、規制環境およびエンタープライズ環境で利用できるようになりました。
| アイテム | ステータス |
|---|---|
| SOC 2 認証レポート | セキュリティレビュー中にNDAに基づいて利用可能 |
| SAML SSO | エンタープライズテナント向けライブ |
| EU データ所在地 | 対象となるプランと規制されたワークフローについてはライブです |
| 修飾された署名 (QES) | サポートされている管轄区域および署名プロファイルに対応 |
| 侵入テストの証拠 | 証拠プロセスと顧客セキュリティレビューを通じて共有 |
コントロール証拠は、信頼証拠プロセスを通じて共有されます。
脆弱性を報告する
潜在的なセキュリティ問題を見つけた場合は、再現手順を記載した電子メールを Partnerships@endorsedsign.com に送信してください。レポートには顧客の文書や実際の認証情報を含めないでください。
1 営業日以内に確認し、修復の進捗状況をお知らせします。私たちは、誠実なセキュリティ研究者に対して法的手段を講じません。