Free100Leads

セキュリティ

最終更新 19 August 2026

この文書は英語で公開され、翻訳は便宜のために提供されています。翻訳と英語版に相違がある場合は英語版が優先します。

保持していないもの

世に出る漏えい報告の多くはカード番号の話です。私たちは一枚も保持しません。決済ページは Stripe がホストし、カード情報はブラウザから直接先方へ行き、私たちを経由しません。失うカードデータがここにないことは、自前で扱って得るどんな管理権より価値があります。

パスワードはアカウントごとのソルト付き scrypt ハッシュで保存し、復元可能な形では決して持ちません。自分のパスワードを教えることもできません。知らないからです。セッション識別子もハッシュ化して保存するので、データベースのコピーは生きたセッションの束にはなりません。API キーも同じで、秘密部分の SHA-256 だけを保持します。失くしたキーが交換はできても復元できない理由です。

完全な IP アドレスは保存しません。記録の前にネットワークブロックへ切り詰めます。

サービスの作り

リードの上に未認証 API はありません。 このドメイン上の何も、キーなしの呼び出しに連絡先レコードを JSON で返しません。有料 API は独自ホスト名にあり、サブスクリプションに紐づくキーを要求し、キーごとに計量・制限され、識別子でレコードを取る方法がありません。offset や id が許すような並列の総なめはできません。
署名済みのサーバー側識別子。 訪問者 Cookie は HTTP only で署名付き。書き換えて新しい枠を鋳造することはできません。
使い捨てのリクエストトークン。 各バッチには使用時に消費されるトークンが必要で、捕獲したリクエストの再生を防ぎます。
ホイールの結果はサーバーが決定。 ブラウザは結果へアニメーションするだけ。賞品はクライアントから一切変えられません。
多層のレート制限。 訪問者ごと、ネットワークブロックごと、そしてサイト全体の1日上限。執念深いスクレイパーでも、遅い漏れを速い漏れには変えられません。
追跡可能なマーカー。 すべてのフルバッチにはその訪問者とその日に固有のマーカーが入り、有料キーへ渡るレコードにはキーと請求期間に紐づくマーカーが入ります。リストが他人の製品に現れたら、出所を証明できます。
新規サブスクリプションのランプ。 新しい有料アカウントは即座にではなく1週間かけて日次上限の満額に達します。「契約して、取れるだけ取って、チャージバック」という手口の旨味を消します。

稼働場所

ドイツの専用ハードウェアで、運用は Hetzner。Cloudflare がオリジンの前で TLS を終端し、トラフィックを濾過します。データベースは公開インターネットから到達できず、管理アクセスは鍵のみです。

脆弱性の報告

報告はお問い合わせフォームからどうぞ。見つけた内容と再現手順を添えてください。人間が返信し、30日以内に修正または予定を提示します。

誠実に報告してくれれば、規約が他に何と言おうと、あなたを追及しません。誠実とは: 自分の訪問者セッションで試す、証明できたら止める、他人のデータには決して触れない、公表の前に修正の機会をくれる、ということです。

DoS テスト、物理攻撃、社内の誰かへのソーシャルエンジニアリング、他の訪問者のサービスを損なう行為はご遠慮ください。有償バウンティはありませんが、希望すればクレジットに名前を載せます。

何かが起きたら

漏えいが誰かのデータを危険にさらす場合、把握から72時間以内に監督当局へ通知し、法律が求めるところでは本人に直接知らせます。このページにも掲示します。

正直な限界

はっきり言う価値があります。多くのセキュリティページは言いませんから。匿名のレート制限は設計上ベストエフォートです。住宅用プロキシと根気のある人なら、取り分以上を集められます。上の層はそれを遅く高くつくものにするためで、不可能にするためではありません。サイト全体の日次上限が、1日に失われうる量に蓋をします。

連絡先データ自体は公開情報なので、漏えいのリスクはパスワード流出とは異なります。だからといって雑に扱う理由にはならず、プライバシー通知に何を何のために保持しているかを書いています。