受信箱単位の権限
アクセスはブラウザーセッション、または一つのアドレス向けに明示的に発行された連携デバイス資格情報に結び付きます。連携端末が元のセッションの変更権限を得ることはありません。
MailOnce のセキュリティ
セキュリティはバッジではなく、実際に強制される境界です。
MailOnce は短期受信箱へのアクセス、認証メール、デバイス連携要求を扱います。このページでは現在実装されている制御と、MailOnce が保証しない保護を明確に分けて説明します。
アクセスは所有証明から始まる
保護されたブラウザーセッション操作には、セッション識別子と所有権を示す Bearer トークンの両方が必要です。トークンは32バイトの乱数から生成され、サーバーは SHA-256 検証値を保持し、提示されたトークンをタイミングセーフに比較します。
製品境界で適用する制御
サーバー側での検証
所有権と認可はバックエンドで強制され、ブラウザー画面の状態だけを信頼して判断しません。
短時間のリアルタイム権限
所有者向け realtime は短寿命のワンタイムチケットを使い、連携状態の応答には no-store が設定されます。
通常の URL から秘密情報を分離
連携 QR のトークンはパスやクエリではなく URL フラグメントに置かれ、クライアントは要求前に表示中の URL から取り除きます。
デバイス連携の権限はメインセッションより意図的に狭い
別端末で同じ受信箱を開くには、所有者ブラウザーで承認するペアリングが必要です。連携資格情報は一つの対象受信箱を読むためのもので、元のブラウザーセッションを操作するためのものではありません。
- ペアリングと継続用の秘密値は32バイトの暗号学的乱数から生成され、ハッシュ検証されます。
- 公開ペアリングIDだけでは認可されず、要求側は継続用秘密値を証明する必要があります。
- 交換成功時は一つのアドレスに限定した読み取りプロファイルが発行されます。
- 対象アドレスの置換や終了時には、認可ごとにライフサイクルが再確認されるため連携アクセスも終了します。
- 連携デバイスの生の秘密値は永続化されず、復旧レスポンスは短時間だけ暗号化保存されます。
不正利用対策もセキュリティの一部
MailOnce は送信元・所有者ベースのレート制限と、重要操作に対する製品クォータを適用します。自動化された不正利用のコストを上げ、共有資源の無制限消費を抑えるための制御であり、不正利用が絶対に起きないという保証ではありません。
このページが保証しないこと
- 送信者、メール、第三者サイトが信頼できることを MailOnce が保証するものではありません。
- 一時受信箱はアカウント保護、パスワードマネージャー、ウイルス対策、MFA の代替ではありません。
- 認証リンクは外部サイトに移動するため、開く前に宛先と文脈を確認する必要があります。
- インターネットサービスに完全な可用性や将来の全脆弱性への完全防御を保証することはできません。
セキュリティ報告
セキュリティ上の懸念や疑わしい脆弱性は、MailOnce の公式サポート窓口 support@mailonce.org へ報告できます。パスワード、セッショントークン、受信箱トークン、デバイス連携の秘密値など、有効な認証情報は送信しないでください。
認証メールの安全な扱いを確認する
Safe Email & Link Handling ガイドでは、MailOnce が担う範囲とユーザー自身が確認すべき点を整理しています。
安全なメールとリンクのガイドを読む