ログインと権限

認証

項目	仕様
ログインの方法	Google アカウント。招待されたメンバーは、メールで届くリンクでも入れます。パスワードは使いません
Google から受け取るもの	メールアドレス・名前・Google アカウントの識別子。求める権限は openid・email・profile だけです。プロフィール画像と、Google のトークンは保存しません
リンクの有効期限	15 分。1 回しか使えません。データベースには元の値ではなく、ハッシュを保存します
リンクの送信の回数	1 分に 5 回まで
セッション	7 日で切れます。Cookie は HttpOnly・Secure・SameSite=Lax
招待	7 日間有効。招待したメールアドレスでログインした人だけが参加できます
アカウントの作成	Google で始めた人と、招待された人が作れます。最初の 1 回に、会社名（または屋号）と、利用規約・プライバシーポリシーへの同意を受けます。同意の日時と規約の版を記録します

役割

役割	できること
オーナー・管理者	訴求の承認・却下、出し分けの停止・再開、AI の案づくり、サイトと判定の設定、メンバーの招待と役割の変更、操作の記録の閲覧
メンバー	訴求の作成・編集・確認に回す、履歴と料金表の閲覧

操作ごとの一覧は メンバーと役割。

組織ごとの分離

サイト・訴求・履歴・操作の記録は、すべて組織ごとに持ちます。管理画面から別の組織のものを指定しても、見つからない扱いになり、存在も分かりません。

送信元の確認

通信	確かめること
タグからの判定	送信元のドメインが、サイトに登録したタグを置くドメインと一致すること。一致しないときは判定せず、応答もブラウザに読ませません
管理画面の変更の操作	送信元が管理画面のオリジンであること（他のサイトからのなりすまし送信を受け付けない）

管理画面の画面の保護

管理画面は、自分のオリジン以外のスクリプトを読み込まない設定（CSP）で配信し、他のサイトの中に埋め込めないようにしています。