ログインと権限

認証

項目	仕様
ログインの方法	メールで届くリンク。パスワードは使いません
リンクの有効期限	15 分。1 回しか使えません。データベースには元の値ではなく、ハッシュを保存します
リンクの送信の回数	1 分に 5 回まで
セッション	7 日で切れます。Cookie は HttpOnly・Secure・SameSite=Lax
招待	7 日間有効。招待したメールアドレスでログインした人だけが参加できます
アカウントの作成	招待された人と、許可したメールアドレス・ドメインの人だけが作れます

役割

役割	できること
オーナー・管理者	訴求の承認・却下、出し分けの停止・再開、AI の案づくり、サイトと判定の設定、メンバーの招待と役割の変更、操作の記録の閲覧
メンバー	訴求の作成・編集・確認に回す、判定ログと料金表の閲覧

操作ごとの一覧は メンバーと役割。

組織ごとの分離

サイト・訴求・判定ログ・操作の記録は、すべて組織ごとに持ちます。管理画面から別の組織のものを指定しても、見つからない扱いになり、存在も分かりません。

送信元の確認

通信	確かめること
タグからの判定	送信元のドメインが、サイトに登録したタグを置くドメインと一致すること。一致しないときは判定せず、応答もブラウザに読ませません
管理画面の変更の操作	送信元が管理画面のオリジンであること（他のサイトからのなりすまし送信を受け付けない）

管理画面の画面の保護

管理画面は、自分のオリジン以外のスクリプトを読み込まない設定（CSP）で配信し、他のサイトの中に埋め込めないようにしています。