セキュリティポリシー Security policies

認証・アカウント管理に関わるセキュリティポリシーを定義します。 パスワードポリシー、ログイン試行回数制限、アカウントステータス管理、 重複メール検出 preflight、OAuth 自動登録抑止、エラーコード体系を網羅します。

Defines security policies related to authentication and account management. Covers password policy, login attempt rate limiting, account status management, duplicate email preflight, OAuth auto-registration prevention, and error code taxonomy.

7.1 パスワードポリシー 7.1 Password policy

パスワードポリシーの SSoT（Single Source of Truth）は parky/shared/password-policy.json です。 Flutter アプリ、Portal フロントエンド、API バリデーション、DB チェック制約の 3 層すべてがこのファイルを参照します。 ポリシー変更はこのファイルの 1 箇所を編集するだけで全層に伝播します。

The SSoT for password policy is parky/shared/password-policy.json. The Flutter app, Portal frontend, API validation, and DB check constraints all reference this single file. Changing the policy in one place propagates to all layers.

インラインバリデーション Inline validation

Flutter の PasswordField ウィジェットおよび Portal のパスワード入力コンポーネントは password-policy.json を読み込み、タイプごとにリアルタイムでルールの充足状況を表示します。 未充足ルールは赤色、充足済みルールは緑色のチェックマークで示します。

The Flutter PasswordField widget and the Portal password input component load password-policy.json and display rule satisfaction status in real time as the user types. Unsatisfied rules are shown in red; satisfied rules are shown with a green checkmark.

API 動的取得 API dynamic retrieval

クライアントは GET /v1/auth/config でポリシーを動的取得できます。 バックエンドが返すレスポンスは password-policy.json の内容を含み、 アプリのコールドスタート時にキャッシュして使用します。

Clients can dynamically fetch the policy via GET /v1/auth/config. The backend returns a response containing the contents of password-policy.json, which the app caches on cold start.

7.2 ログイン試行回数制限（soft-lock） 7.2 Login attempt limiting (soft-lock)

Cloudflare Rate Limiter（ネットワーク層） Cloudflare Rate Limiter (network layer)

制限超過時は HTTP 429 を返します。Retry-After ヘッダーで再試行可能時刻を通知します。

When exceeded, returns HTTP 429 with a Retry-After header indicating when the client may retry.

per-account soft-lock（アプリケーション層） Per-account soft-lock (application layer)

アカウントごとの連続失敗回数に基づいた指数バックオフで一時ロックします。 ロック状態は app_users.locked_until に格納します。

Temporarily locks based on exponential back-off per account's consecutive failure count. Lock state is stored in app_users.locked_until.

• ログイン成功時に失敗カウンターをリセット
• The failure counter is reset on successful login
• locked_until は POST /v1/auth/preflight レスポンスに含まれ、クライアント UI がカウントダウンを表示
• locked_until is included in the POST /v1/auth/preflight response so the client UI can show a countdown

7.3 アカウントステータス 7.3 Account statuses

7.4 重複メール検出 preflight 7.4 Duplicate email preflight

サインアップ・パスワードリセット画面でメールアドレスを入力した後、 フォーム送信前に POST /v1/auth/preflight を呼び出して状態を確認します。

After entering an email address on the sign-up or password-reset screen, POST /v1/auth/preflight is called before form submission to check the state.

レスポンス Response

追加フィールド Additional fields

• provider?: "google" | "apple" | "facebook" — exists_with_oauth 時に返却
• locked_until?: ISO8601 — ロック中の場合に返却。クライアントがカウントダウン表示に利用

Enumeration 攻撃対策 Enumeration attack mitigations

• Cloudflare Rate Limiter: 10 req / 60s（IP key）
• Cloudflare Rate Limiter: 10 req / 60s (IP key)
• 応答時間を一定化（timing attack 対策）: DB ヒット・ミス問わず最低 200ms 待機してからレスポンス
• Constant response time (timing attack mitigation): minimum 200ms wait before responding regardless of DB hit/miss
• "blocked" レスポンスはブロック理由を返さない（情報漏洩防止）
• "blocked" response does not disclose the block reason (information leak prevention)

7.5 preflight フロー 7.5 Preflight flow

sequenceDiagram
  participant U as ユーザー
  participant App as モバイルアプリ
  participant CF as Cloudflare Workers
  participant API as Supabase API
  participant DB as Database

  U->>App: メールアドレスを入力
  App->>App: onBlur / 次へボタンタップ
  App->>CF: POST /v1/auth/preflight {email}
  CF->>CF: Rate limit チェック (10/60s)
  alt レート制限超過
    CF-->>App: 429 Too Many Requests
    App->>U: 「しばらく待ってから再試行してください」
  else 通過
    CF->>API: preflight リクエスト転送
    API->>DB: admin.is_email_blocked(email) 確認
    alt blocked
      API-->>App: {status: "blocked"} (200, 一定時間後)
      App->>U: 「このアカウントは利用できません」
    else not blocked
      API->>DB: app_users + auth.users 照合
      API-->>App: {status, provider?, locked_until?} (200, 一定時間後)
      alt available
        App->>U: 登録フォームを続行
      else exists_with_password
        App->>U: 「登録済み」→ サインイン画面へ誘導
      else exists_with_oauth
        App->>U: provider に応じた OAuth ボタン表示
      else withdrawn_rejoinable
        App->>U: 再登録確認ダイアログ
      end
    end
  end

7.6 ブロック情報の保持 7.6 Block information storage

ブロックされたメールアドレスは PII（個人情報）の直接保持を避けるため、 SHA-256 ハッシュで admin.blocked_email_hashes テーブルに格納します。

Blocked email addresses are stored as SHA-256 hashes in the admin.blocked_email_hashes table to avoid holding PII directly.

メール照合は admin.is_email_blocked(email text) RETURNS boolean 関数経由で行います。 この関数は service_role のみ実行可能とし、一般ユーザーからは直接呼び出せません。

Email lookup is performed via the admin.is_email_blocked(email text) RETURNS boolean function. This function is executable only by service_role and cannot be called directly by regular users.

7.7 OAuth 自動登録抑止 7.7 OAuth auto-registration prevention

Supabase Auth の before_user_created Auth Hook を使い、 OAuth 経由で未登録のメールアドレスがサインアップしようとした場合にブロックします。 これにより、「Google でサインイン」が実質的に新規登録にならないようにします。

Uses Supabase Auth's before_user_created Auth Hook to block OAuth sign-ups for email addresses that are not already registered. This prevents "Sign in with Google" from effectively becoming a new registration.

7.8 エラーコード一覧 7.8 Error code reference

7.9 認証フロー全体図 7.9 Full authentication flow

sequenceDiagram
  participant U as ユーザー
  participant App as モバイルアプリ
  participant CF as Cloudflare Workers
  participant Hook as Auth Hook
  participant DB as Database

  U->>App: サインアップ画面でメール入力
  App->>CF: POST /v1/auth/preflight {email}
  CF-->>App: {status: "available"}

  U->>App: パスワード入力・登録ボタンタップ
  App->>App: パスワードポリシーバリデーション (クライアント)
  App->>CF: POST /v1/auth/sign-up {email, password}
  CF->>DB: パスワードポリシー DB チェック制約
  CF->>DB: app_users INSERT
  CF-->>App: 登録成功 + session

  Note over App: ---- サインイン ----

  U->>App: サインイン画面でメール・パスワード入力
  App->>CF: POST /v1/auth/preflight {email}
  CF-->>App: {status: "exists_with_password", locked_until?}
  alt locked_until あり
    App->>U: カウントダウンタイマー表示
  else ロックなし
    App->>CF: POST /v1/auth/sign-in {email, password}
    CF->>CF: Cloudflare Rate Limit チェック
    CF->>DB: 認証照合 + 失敗カウント更新
    alt 認証成功
      CF->>DB: 失敗カウントリセット
      CF-->>App: session
      App->>U: ホーム画面へ
    else 認証失敗
      CF->>DB: 失敗カウントインクリメント → locked_until 更新
      CF-->>App: 401 + parky.account.locked (カウント≥5)
      App->>U: エラー表示 / カウントダウン
    end
  end

7.10 セキュリティチェックリスト 7.10 Security checklist