利用規約
本利用規約（以下「本規約」）は、日本情報基盤サービス株式会社（以下「当社」）が提供する Webサイト・Webアプリ向け統合型セキュリティサービス「サイトドック」（以下「本サービス」）の利用条件を定めるものです。 利用者は本サービスの利用にあたり、本規約に同意したものとみなします。
第1条（適用）
本規約は、利用者と当社との間の本サービスの利用に関わる一切の関係に適用されます。
第2条（診断の実施）
- 本サービスにおける外形的な診断（パッシブ診断）は、対象サイトの公開情報（HTTPレスポンスヘッダ、DNS等）のみを確認するもので、サイトへ過度な負荷をかける検査は行いません。
- 能動的なセキュリティ検査（月次の定期診断を含みます）は、対象ドメインの所有者確認に成功し、かつ利用者が実行に同意した場合に限り実施します。所有者確認は本人確認のための手続きであり、別途の料金は発生しません。
- 能動的なセキュリティ検査は、対象サイトへ実際にアクセスするため一定の負荷が生じます。当社は、サービス停止を狙う検査（DoS等）は行いません。能動診断（検査用の文字列を含むリクエストの送信）の内容・同意の取り方・実施の時間帯は、サービス利用約款第9条に定めます。
- 利用者は、自己が正当な管理権限を有するサイトに対してのみ本サービスを利用するものとします。第三者のサイトを無断で検査することは固く禁じます。
- 能動的なセキュリティ検査は、対象サイト・ネットワークに設置された WAF・IPS/IDS 等のセキュリティ製品やサービスにより、検知・遮断・アラートされる場合があります。利用者は、必要に応じて自己または委託先のセキュリティ運用担当へ事前に共有のうえ実施するものとします。
- 改善作業への伴走支援・全体診断など、本サービスの範囲を超えて別途ご依頼いただく専門的支援については、事前にお見積もりのうえ有償で提供する場合があります。
第3条（禁止事項）
利用者は、本サービスの利用にあたり、次の行為をしてはなりません。
- 管理権限のない第三者のサイト・システムを対象とする行為
- 法令または公序良俗に違反する行為
- 本サービスの運営を妨害し、または不正にアクセスする行為
- 診断結果を悪用し、または第三者に損害を与える行為
第4条（診断結果の位置づけ）
- 診断結果は検査時点で外部から観測できた事項に基づくものであり、対象サイトの安全性を保証するものではありません。
- 検出されなかった事項について、脆弱性が存在しないことを保証するものではありません。
- 改善方法の記載は一般的な指針であり、適用にあたっては利用者の環境に応じた検証を要します。
- 診断は機械的な検査を含むため、結果には過検知・誤検知（実際には問題でない事項の検出、または問題の見落とし）が含まれる可能性があります。重要な判断・対応の前に、内容の妥当性をご確認ください。
第5条（免責事項）
- 当社は、本サービスの利用または利用不能により利用者に生じた損害について、当社の故意または重過失による場合を除き、責任を負いません。
- 本サービスは現状有姿で提供され、特定目的への適合性・完全性・有用性を保証しません。
第6条（個人情報の取扱い）
当社は、本サービスで取得した個人情報を、別途定めるプライバシーポリシーに従って適切に取り扱います。
第7条（本規約の変更）
当社は、必要と判断した場合には、利用者への事前の通知なく本規約を変更できるものとします。変更後の本規約は、本サービス上に表示した時点から効力を生じます。
第8条（準拠法・管轄）
本規約の解釈には日本法を準拠法とし、本サービスに関して紛争が生じた場合には、当社所在地を管轄する裁判所を第一審の専属的合意管轄裁判所とします。
第9条（お問い合わせ）
本規約に関するお問い合わせは、当社お問い合わせ窓口までご連絡ください。
ご利用にあたっての注意事項
- サイトドックのご利用にはドメイン設定（DNS）の切り替えを伴います。切り替え手順は画面の案内とサポートでご支援します。
- 自動修復（仮想パッチ）の対象は外部から到達するWeb通信の範囲です。アプリの根本改修・サーバ内部の設定は対象外で、別途お見積りにて実装まで伴走します。
- 配信基盤・お客様サーバそれぞれに障害が生じた場合の責任分界は、ご契約時に書面でご説明します。
- 月次の定期診断（能動診断）の実施にあたり、ご契約時に診断実施へのご同意と実施時間帯の調整をお願いします。WAF/IPS等で検知される場合があるため、運用ご担当・委託先への事前共有をお願いします。
- ご契約期間中は、サイト所有者であることの確認（metaタグまたはDNSレコード）を維持いただきます。
- サービス停止を狙う破壊的な検査（DoS等）は行いません。退会・削除など破壊的な操作が疑われる導線は、既定で診断対象から除外します。
- プロは、サーバ側への常駐プログラムの導入（トンネル接続・改ざん検知エージェント）と、エッジ側の設定（スキーマ検証・カスタム防御ルール・アプリ通信のヘッダートークン）を伴います。導入は当社が代行・支援しますが、本番適用の前にステージング環境等での事前検証をおすすめします。エージェントが当社へ送る情報はファイルのパス・ハッシュ・変更の抜粋に限り、秘密情報を含むファイルは内容を送りません。