TrekMailプラットフォームのセキュリティ概要

TrekMailは標準的なプラットフォーム対策によってアカウントとメールデータを保護します。ここでは、製品上で確認できる制御について説明します。

ユーザーが管理するセキュリティ制御

• メールアドレス確認： 新しいアカウントではメールアドレスを確認します。アカウントに必要な確認が完了するまで送信できません。アカウントのメールアドレスを変更すると確認が再開されます。
• アカウントログイン用の二要素認証 (TOTP)。
• アカウント所有権と管理者権限によるロールベースのアクセス（利用できる場合）。
• アカウントとメールボックス向けのパスワードポリシーと管理手順。メールボックスのパスワード変更ポータルも含みます。
• 設定可能なスコープ、ドメイン制約、有効期限を持つAPIトークン。新しいトークンが表示されたときにコピーし、秘密にしてください。
• Driveデバイスパスワード（同期）： 同期アプリやデバイスごとに、独立した制限付きパスワードを使用します。ダッシュボードまたはwebmailの Drive → Sync devices で作成し、名前、権限、任意の有効期限を設定します。管理者はアカウント全体のパスワードを作成できます。メールボックスユーザーはwebmailで自分のメールボックス専用パスワードを作成できます。1つのパスワードを取り消しても他のデバイスは接続したままです。新しいパスワードは作成時にのみ表示されます。管理者は両方の画面からデバイスを確認して取り消せます。全手順は同期デバイスをご覧ください。
• API監査ログは、管理者によるAPI操作の確認と予期しない変更の調査に役立ちます。

データの暗号化

• 保護されたシークレット： 一部のプロバイダートークンや移行認証情報など、TrekMailが処理のために復元する必要がある機密認証情報は、アプリケーション暗号化で保存されます。認証だけに使うパスワードは一方向ハッシュで保存されます。
• セキュリティ保守： TrekMailは、アカウントの再設定を求めることなく、保存データに使われる保護を維持します。
• コンプライアンス記録： アカウントを削除しても、限定的な請求および管理記録が保存される場合があります。適用される方針はプライバシーとデータ保存をご覧ください。
• パスワード保護： パスワードは保護され、作成または変更した後に再表示されません。新しいパスワードが必要な場合は、利用可能な変更またはリセット手順を使用してください。

運用上の対策

• Apps & devices に表示されるIMAPおよびSMTP接続ではTLSが必須です。古いガイドの値をコピーせず、メールボックスまたはブランドに表示された正確なホスト、ポート、TLS方式を使用してください。
• ドメインの識別情報を保護するため、送信にはDNS認証 (SPF, DKIM, DMARC) が必須です。
• 不正利用防止のため、使い捨ておよび一時的なメールアドレスは登録時にブロックされます。
• 受信メールは、危険な添付ファイルへの保護を含む複数の迷惑メールおよび安全対策で確認されます。
• レート制限と不正利用対策により、公開ログインとメールサービスを保護します。
• ブラウザのセキュリティ制御はダッシュボードとwebmailの保護に役立ちます。
• 無効または停止中のメールボックスはメール配信から除外されます。TrekMailは非アクティブなメールボックス宛てのメールを受け付けず、ルーティングもしません。
• 送信メールはメールボックスごとに監視されます。1つのメールボックスからの送信内容がパスワード盗難を示す場合、TrekMailは同じアカウントの他のメールボックスを中断せずに、そのメールボックスからの送信を停止できます。パスワードを変更し、送信再開の審査についてサポートに連絡してください。メールボックスのセキュリティもご覧ください。
• 脆弱な依存関係は、自動監査チェックによってデプロイ時にブロックされます。

独立した研究者は、テストまたは問題の報告前にセキュリティおよび脆弱性開示ポリシーを確認できます。TrekMailの保護に役立つ有効な報告を行った研究者は、セキュリティ殿堂で紹介される場合があります。

APIとMCPのセキュリティ

• APIトークンはHTTPS経由のbearer認証を使用します。トークンを秘密にし、漏えいした疑いがあれば取り消してください。
• スコープは各トークンが実行できる操作を制限します。ドメイン制約はアクセスできるドメインを制限します。
• メールボックスの削除には、意図と確認からなる2段階の手順が必要で、10分後に期限切れになります。
• MCPサーバーでは破壊的な操作が初期設定で無効です。削除ツールには明示的なオプトインが必要です。
• 接続設定と移行リクエストは使用前に検証されます。
• 管理者は AI Agents & API → Audit Log でAPI操作を確認できます。
• リクエスト制限は、メールボックスデータの自動収集からの保護に役立ちます。

簡単な対策とトラブルシューティング

• アカウント乗っ取りのリスクを減らすため、すべての管理者に2FAを有効にします。
• なりすましや到達性の問題を防ぐため、DNSレコードを最新に保ちます。
• APIトークンが侵害された疑いがある場合は、すぐに取り消します。
• API監査ログを定期的に確認し、予期しない操作を検出します。
• 不審な操作は、時刻と影響を受けたアカウントを添えてサポートセンターに報告します。