プライバシーポリシー

1. 取得する情報

本サイトの診断機能をご利用いただく際に入力いただく情報は、診断対象のドメイン名のみです。ドメイン名は、公開情報であり、DNS に公開されている設定内容を確認するために利用します。

会員登録、ログイン、メールアドレスの入力、ファイルのアップロード、決済は、いずれも本サイトの利用に必要ありません。

このほか、Google Analytics 4 (GA4) によるアクセス解析のため、ページの閲覧に伴って生成される情報を取得しています。こちらは、利用者が意識的に入力する情報ではありません。取得する内容と診断対象のドメイン名を含めないための対策は、「4. Cookie と表示設定」「5. アクセス解析と広告について」で説明します。

2. 利用目的

本サービスが取得する情報は、次の4つの目的にのみ利用します。

• 診断機能の提供 — 入力いただいたドメイン名について、公開されている DNS の設定内容を確認するために利用します（詳細は、「3. 入力したドメイン名の取り扱い」をご覧ください）
• サイトの利用状況の把握 — Google Analytics 4 (GA4) によるアクセス解析を通じて、ページの閲覧状況を把握するために利用します（詳細は、「5. アクセス解析と広告について」をご覧ください）
• 短時間に大量のリクエストが送られることの抑止 — 接続元の識別子を一時的に利用します（詳細は、「7. レート制限のための識別子」をご覧ください）
• 障害の調査と復旧 — サーバーの動作ログを利用します（詳細は、「6. 配信基盤とサーバーのログ」をご覧ください）

3. 入力したドメイン名の取り扱い

診断は AWS Lambda 上で実行しており、入力いただいたドメイン名をアプリケーションのログに出力していません。障害調査のために記録しているのはアクセスされた経路（/api/diagnose など）、HTTP のステータスコード、処理にかかった時間、エラーの種類のみで、ドメイン名は、含まれません。

診断結果は、サーバーに保存せず、応答として、その場でお返しした後は、破棄します。本サイトは、データベースを持ちません。診断 API の応答には Cache-Control: no-store を設定しており、通信経路の途中（プロキシ等の中間サーバー）にも診断結果を保存させない設定にしています。

一方で、診断対象のドメイン名は、診断結果ページの URL のクエリパラメータ（?d=）に含まれるため、ご利用のブラウザの履歴には残ります。共有端末や他の方と共用しているパソコンで履歴を残したくない場合は、ブラウザのプライベートウィンドウ（シークレットモード）をご利用いただくか、利用後にブラウザの履歴を削除していただくことで対応できます。サーバー側では上記のとおり診断結果もドメイン名も保存していません。

4. Cookie と表示設定

本サイトは、後述する Google Analytics 4 (GA4) の利用にあたり、Cookie を使用します。

GA4 が設定する Cookie は _ga と _ga_ZC7V86L5CX の2種類です。いずれも同じブラウザによる複数回の訪問を区別するための識別子で、氏名やメールアドレスなど個人を直接特定できる情報を含むものではありません。有効期限が設定されており、無期限に保持されるものではありません（実際に確認した際の有効期限は生成から400日程度でしたが、ご利用のブラウザの設定や Google 側の仕様変更により変わることがあります）。

Cookie の保存を望まない場合は、ご利用のブラウザの設定から Cookie を無効にするか、既に保存された Cookie を削除できます。GA4 による計測そのものを行わせたくない場合は、Google が提供する「Google アナリティクス オプトアウト アドオン」（https://tools.google.com/dlpage/gaoptout）をブラウザに追加することでも対応できます。

表示テーマ（ライト / ダーク）の設定は、Cookie ではなくブラウザの localStorage に保存します。保存するキーは、sk-theme、値は、light または dark のいずれかです。この設定は、ご利用の端末内に留まり、サーバーへ送信されることはありません。

5. アクセス解析と広告について

本サイトは、Google Analytics 4（以下「GA4」といいます。測定ID: G-ZC7V86L5CX）を導入し、ページの閲覧状況を計測しています。

GA4 に送信される情報は、閲覧したページの URL、参照元のサイト、ご利用の端末やブラウザの種類、大まかな地域情報などです。地域情報は、接続元の IP アドレスから推定されますが、運営者は、この IP アドレスを保存しません。

診断結果ページの URL には入力いただいたドメイン名がクエリパラメータとして、含まれます（例: /check/?d=example.jp）。GA4 へ送信する URL からこのクエリパラメータを取り除いています。本サイト内のページから移動したときに送信される参照元の URL も同じです。診断対象のドメイン名は、GA4 へ送信されません。

このほか、ページの表示速度と表示の安定性を示す指標（Core Web Vitals）を GA4 のイベントとして、送信しています。送るのは指標の名前（LCP や CLS など）、その測定値、良好かどうかの区分、そして同じページを表示している間に測った複数の指標を結びつけるための符号の 4 つです。この符号は、ページを表示するたびに新しく作られるもので、閲覧者ご自身を識別するものではありません。あわせて、診断機能がどこまで使われているかも記録しています。送るのは操作の種類（診断の開始、完了、失敗、再診断、設定値のコピー、ガイドや記事への移動、メールヘッダー・バウンスメール・DMARC集計レポートを貼り付けて解析した操作、およびその解析結果から診断へ進んだ操作）、その操作を利用者ご自身の操作で始めたのか画面を開いた時点で始まったのかの区別、診断をどの画面（総合診断ページか個別のツールページか）から実行したかの区別、診断の総合判定（問題なし / 要確認 / 要修正）、どの項目についての指摘かを表す符号とその件数、診断が失敗した場合はその失敗の種類、レコードの種別（TXT や MX）、移動先のガイドや記事を表す符号、そしてクエリパラメータを除いたページのパスです。メールヘッダー・バウンスメール・DMARC集計レポートを貼り付けて解析した操作については、貼り付けていただいた内容そのものは送信せず、それぞれヘッダー・配信状態通知・レポートとして読み取れたかどうかだけを送信します。

これらのイベントに、診断対象のドメイン名、入力欄に打ち込んだ値、生成された設定値は、含めていません。DKIM のセレクタは、指定があったかどうかだけを送っており、指定されたセレクタ名は、送信しません。

本サイトの実装は、GA4 を通じて閲覧者に広告を配信したり、他のサービスでの行動と結びつけたりする設定（Google 広告との連携等）を行っていません。第三者の広告を表示する仕組み（広告配信ネットワークのタグ）も設置していません。

一方で、一部の記事の末尾に外部サービスへの紹介リンクを掲載しています。このリンクをたどった先で申し込みがあった場合、運営者が紹介料を受け取ることがあります。掲載している記事には、本文の前とリンクのすぐそばの両方に、その旨を表示しています。記事の内容を紹介料の有無で変えることはしません。

紹介リンクについて本サイトが GA4 へ追加で送信するのは送客先を表す符号、どの導線かを表す符号、記事のどこに置かれた導線か、そしてクエリパラメータを除いたページのパスの 4 つです（このほかに GA4 が自動的に収集する情報は、本節の冒頭をご覧ください）。押されたときに加えて、その導線が画面に入った時点でも同じ内容を送信しています。押された数だけでは、どれだけの方の目に触れたうえでの数なのかが分からないためです。リンク先の URL は、送信しません。リンクをたどった後の情報の取り扱いは、移動先のサービスの規約とプライバシーポリシーによります。移動先で何を申し込んだか、申し込んだかどうかが本サイトへ個別に伝わることはありません。

今後、新たに別の解析ツールを追加する場合や GA4 の利用目的を広告目的に広げる場合は、本ポリシーを改定したうえでその内容をこのページに反映します。

6. 配信基盤とサーバーのログ

本サイトのページ配信には Amazon CloudFront を使用していますが、リクエストされた URL や IP アドレスを記録するアクセスログ機能は、有効にしていません。そのため、閲覧された URL の一覧を当方で保持していません。

診断を実行するサーバーでは、障害の調査のために動作ログを記録しています。記録している内容は、日時、呼び出された経路（例:「/api/full」）、応答の種別、処理にかかった時間、失敗した場合は、その理由の区分に限られます。診断対象として入力されたドメイン名、および接続元の IP アドレスは、このログに含まれません。

このログの保持期間は、2 週間で、期間を過ぎたものは自動的に削除されます。利用目的は、障害対応と不正利用の検知に限り、それ以外の目的では利用しません。

7. レート制限のための識別子

短時間に大量の診断リクエストが送られることを防ぐため、接続元の IP アドレスを SHA-256 でハッシュ化した値を一時的に保持しています。ハッシュ化には秘密の salt を付加しており、この値から元の IP アドレスを復元することはできません。

salt は、デプロイ時に設定する秘密の値で、リポジトリには含めていません。さらにUTCの日付を組み合わせ、ハッシュ値を日ごとに自動更新しています。異なる日のハッシュ値を同じ接続元として、対応づけることはできません。このために保持するキーに診断対象のドメイン名は、含まれません。

8. 外部への問い合わせ

診断のために本サイトのサーバー側は、次の外部サービスへ問い合わせを行います。これとは別に、閲覧者のブラウザから Google Analytics 4 (GA4) への通信が行われます。詳細は、「5. アクセス解析と広告について」をご覧ください。

• Google Public DNS および Cloudflare の DNS over HTTPS（DoH）— 診断対象のドメイン名を送信し、SPF・DKIM・DMARC・MX などの DNS の設定内容を取得します
• 診断対象のドメインの権威ネームサーバーへの直接の DNS 問い合わせ — 上記の代表的な公開DNSリゾルバとは別に、そのドメインが登録しているネームサーバーへ直接問い合わせます。設定を変更した直後に「反映済み」か「反映待ち」かを区別するために行うもので、送信するのは確認したいレコードの名前と種別のみです
• 診断対象のドメインへの http:// 接続（そのドメイン名にIPアドレスが無いときは、www を付けたホストへの接続）— HTTPS への転送が正しく設定されているかを確認するため、まず暗号化されていない接続を試みます。この接続が応答しないときは、https:// で接続し直します。この接続で送信するデータは、ドメイン名以外にありません
• 診断対象のドメイン、および www の有無が反対側のホスト（例: example.jp に対する www.example.jp）への接続 — 最初の接続と同じ http:// または https:// で、転送先のURL、レスポンスヘッダーを取得し、www ありとなしのどちらか一方に統一されているかを確認します
• 診断対象のドメイン（転送されるときは転送先のホスト）への TLS 接続（ポート443）— SSL証明書の内容（発行者、有効期限、対象ホスト名）を取得します。証明書は、接続先が公開している情報であり、これ以外のデータの送受信は、行いません
• 診断対象のドメインの robots.txt の取得 — 検索エンジンのクロールを禁止する設定になっていないかを確認します
• 診断対象のドメインがMTA-STSを宣言している場合の mta-sts. サブドメインへの https:// 接続 — RFC 8461で定められた固定URLからメール配送時のTLSポリシーファイルを取得します。リダイレクト先へは接続しません

9. 越境移転と処理場所

診断処理は、Amazon Web Services の東京リージョン（ap-northeast-1）で行っています。

本サイトのページ配信には Amazon CloudFront を使用しており、配信は、世界各地のエッジロケーションのうち利用者に近い拠点から行われます。静的ファイルの保管には Amazon S3（東京リージョン）を使用し、ドメインの DNS ホスティングには Amazon Route 53 を使用しています。CloudFront 用の SSL証明書は、AWS Certificate Manager（us-east-1）で発行していますが、この証明書の発行・更新の処理に利用者のデータが渡ることはありません。

診断のために入力いただいたドメイン名は、Google LLC（米国）が提供する Google Public DNS、および応答が得られない場合の代替として、Cloudflare, Inc.（米国）が提供する Cloudflare Public DNS へ送信されます（詳細は、「8. 外部への問い合わせ」をご覧ください）。これは SPF・DKIM・DMARC・MX などの DNS の設定内容を取得するために不可欠な処理で、両社への送信を避けて診断機能を提供することはできません。

これとは別に、Google Analytics 4 (GA4) の利用に伴い、本サイトを閲覧した際のページ URL（クエリパラメータを除いたもの）、参照元、端末情報などが Google LLC（米国）へ送信されます（詳細は、「5. アクセス解析と広告について」をご覧ください）。これは診断機能の提供とは異なる目的（サイトの利用状況の把握）で閲覧者のブラウザから直接行われる送信です。

Google Public DNS および Cloudflare Public DNS は、いずれも公開されている DNS 問い合わせ用のサービスとして、利用しており、運営者は、これらの事業者との間でデータ処理契約を締結していません。GA4 についても同様に、運営者は、Google LLC との間でデータの取扱いを定める契約（データ処理規約等）を締結しているかどうかを確認できていません。上記いずれのサービスにおけるデータの取扱いもそれぞれの事業者が公表しているプライバシーポリシーによります。

上記の通信は、通信の性質上、接続元の IP アドレスが Google LLC および Cloudflare, Inc. に到達します。運営者は、この IP アドレスを保存しません。

診断対象として入力いただいたドメインの権威ネームサーバーへの直接の問い合わせ、および当該ドメインと mta-sts. サブドメインへの HTTP・HTTPS・TLS 接続についても同様に、そのドメインの管理者が指定したサーバーへ接続します。これらの接続先の所在地は、そのドメインを管理する事業者が決めるものであり、運営者は、関知していません。

AWS の各サービスについては、利用者の個人データを保管していないため、個人データの取扱いを委託する関係にはありません。

10. 第三者への提供

運営者は、利用者の個人情報を第三者に販売・提供・共有することはありません。本サービスは、保有する個人情報自体が無いため、提供の対象となるデータが存在しません。

診断のためにドメイン名を Google LLC および Cloudflare, Inc. へ送信する処理（「9. 越境移転と処理場所」参照）は、利用者からの求めに応じて DNS の設定内容を調べるという本サービスの提供そのものに必要な処理であり、ここでいう第三者提供とは性質が異なります。

これに対して、Google Analytics 4 (GA4) の利用に伴い、本サイトを閲覧した際の情報が Google LLC へ送信される点（「5. アクセス解析と広告について」「9. 越境移転と処理場所」参照）は、上記の DNS 問い合わせとは性質が異なります。診断のための DNS 問い合わせが利用者からの求めに応じたサービス提供そのものに必要な処理であるのに対し、GA4 は、運営者が自らの判断で導入したアクセス解析ツールであり、Google LLC がこの情報を自社のサービス改善等のために独自に利用する可能性を否定できません。運営者は、Google LLC との間でデータの利用目的を制限する契約を締結しているかどうかを確認できていないため、GA4 経由の送信については、第三者への提供にあたるものとして扱います。

法令により開示が義務づけられる場合を除き、運営者が自らの判断で利用者に関する情報を第三者へ開示することはありません。

11. 子供のプライバシー

本サービスは、ドメインを管理する事業者やサイト運営者を対象としており、子供を対象としたサービスではありません。

会員登録がなく、氏名や連絡先などの個人情報を取得しない仕組みのため、子供から個人情報を収集することもありません。

本サービスは、利用者の年齢確認を行っていません。

12. 保存期間と安全管理

サーバー側では診断結果とドメイン名を保存しないため、保存期間という概念自体が生じません（ブラウザの履歴に残る点については、「3. 入力したドメイン名の取り扱い」をご覧ください）。レート制限のために保持するハッシュ値は、一時的なものです。

サーバーの動作ログは、2 週間で自動的に削除されます（記録している内容は、「6. 配信基盤とサーバーのログ」をご覧ください）。本サイトは、これらの情報を適切に管理するため、合理的な安全管理措置を講じます。

GA4 が設定する Cookie の保持期間については、「4. Cookie と表示設定」をご覧ください。この Cookie は、Google LLC 側で保持されるものであり、運営者が管理する保存期間には含まれません。

13. 利用者の権利

本サービスのサーバー側では、診断結果・入力されたドメイン名・接続元の IP アドレスのいずれも保存していません（詳細は、「12. 保存期間と安全管理」をご覧ください）。そのため、これらについては、個人情報保護法が定める保有個人データの開示・訂正・利用停止・削除等の請求について、請求の対象となるデータそのものが存在しません。

一方、GA4 を通じて Google LLC 側に記録される閲覧に関する情報（Cookie に紐づく識別子単位の情報）については、運営者は、個々の利用者を氏名等で特定する手段を持たないため、特定の個人を指定した開示・削除の請求に個別に対応することができません。ブラウザの Cookie を削除する、または「4. Cookie と表示設定」に記載のオプトアウト手段を利用することで利用者ご自身がこの記録を止める、または今後の記録を防ぐことができます。

これは、利用者にこれらの権利が無いという意味ではなく、請求の対象となるデータが本サービス側に存在しないこと、または運営者側で技術的に個人を特定して対応する手段を持たないことを意味します。取り扱いについて、疑義がある場合は、「14. ポリシーの改定とお問い合わせ」に記載の窓口までお問い合わせください。

本サービスの取り扱いに関するご不満やお問い合わせについては、個人情報保護委員会に対しても申立てを行うことができます。

14. ポリシーの改定とお問い合わせ

本ポリシーは、機能追加、法令改正、運用変更に応じて改定することがあります。重要な変更がある場合は、本ページの内容を更新してお知らせします。

本ポリシーに関するお問い合わせは、info@m-naoki-m.com までご連絡ください。