能力より先に境界を。全ライフサイクルを制御。

Web はメール本人確認、請求状態、ライセンスポイント、Desktop / Browser 枠を管理します。ログインやライセンス確認だけで Desktop Project や通常の閲覧内容を Web DB に保存しません。

将来のモデル、同期、外部ツール接続でも Project 境界、能力単位の許可、ユーザー確認を維持し、公開前に個別の安全・プライバシー審査を行います。

• 支払方法と完全なカード情報は Paddle Checkout が処理し、XAgent はカード番号・セキュリティコードを直接保存しません。
• Paddle webhook の署名を検証し、イベントを冪等処理してリプレイによる重複ライセンスを防ぎます。
• 検証済み契約・取引状態を権限の根拠とし、失敗、解約、期限切れ、取消は次回確認へ反映します。
• 顧客・取引・契約をアカウント ID に結び、同じメールだけで別アカウントへ誤帰属させません。

• 秘密情報はホスト環境変数で提供し、ブラウザ配布物や公開ソースへ置きません。
• API はフィールド、長さ、UUID、プロトコル、所有権を検証し、必要最小限のみ返します。
• 契約・ライセンス・端末変更は監査イベントを残し、高リスク操作はログインまたは有効証明書を要求します。
• ホスト、Paddle、Resend の制御を利用し、各社の処理を提供に必要なデータへ制限します。

• 固有で長いパスワードを使い、再設定に使うメールを保護してください。
• Activation Key をチャット、問い合わせ、画像で公開せず、信頼できる公式クライアントだけに入力してください。
• Download Center から取得し、発行元、署名、完全性情報を確認してください。不明な改変版をインストールしないでください。
• 端末紛失、Key 漏えい、不審な連携時はアカウントで直ちに解除し Key を更新してください。

対象、再現手順、期待/実結果、影響、可能なら修正案を記載してください。確認、重大度評価、修正と開示調整を行います。

所有または許可されたアカウントとデータだけをテストし、ソーシャルエンジニアリング、DoS、永続化、他者データ取得、運用妨害を避けてください。現時点で報奨金制度や、別途書面合意のない範囲外テストへのセーフハーバーはありません。

インターネット通信、ソフトウェア、保存に絶対的安全はありません。リスクに応じ改善し、侵害が絶対起きないとは表現しません。

ユーザーへ影響する事故を確認した場合、封じ込め、修復、証拠保全を行い、適用法が求める範囲・期限でユーザーまたは当局へ通知します。重要変更時は更新日を変更します。