分離を強制するのはアプリケーションコードではなく、データベースです。

インターフェースのコントロールは、描画の前にサインイン中の人がその権限を持つかを尋ねます。サーバーのハンドラーは、作業を始める前に同じ権限を検証します。そしてデータベースが、クエリの見てよい行を決めるポリシーを適用します。三つの仕組み、正しくあるべき三つの別々の場所。どれか一つが否と言えば、リクエストは終わります。

• インターフェースの確認は境界ではなく利便性です。ボタンを隠しますが、テーブルは守りません。
• すべての確認は一つの権限カタログと一つの関数を通ります。ハンドラーがロール名を読んで、その意味を自分で判断することはありません。
• 組織ツリーのブランチで付与されたロールは、そのブランチの下に継承されます。データベースのポリシーはインターフェースと同じツリーを読むので、両者が食い違うことはありません。

分離は慣行ではなくスキーマです。テーブルは行レベルセキュリティを有効にした状態で作成され、そのポリシーはサーバーが呼ぶのと同じ権限関数に委譲します。さらにマイグレーション検査が、背後にポリシーのないままアクセスを許可されたテーブルを探します。この数字は宣伝用の数値ではなく、いくつのポリシーを強制しているかとデータベースに尋ねたときの答えです。

• ポリシーは自前のロジックを埋め込みません。権限関数を呼ぶので、その答えが直前にサーバーが下した判断とずれることはありません。
• 書き込みポリシーには読み取り条項に加えてチェック条項があるため、書き手に権限のない組織へ行を挿入することはできません。
• ビューが個人データを公開する場合、アクセスは列ごとに付与します。テーブル全体への付与は列単位の保護を静かに無効化するため、使いません。

アプリケーションのテーブルは名前付きの 14 のスキーマにあります。ID とアクセスに一つ、組織に一つ、メディアに一つ、といった具合です。重要なものは既定の public スキーマに置きません。そこは、うっかりした付与や緩い既定値が最も露出につながりやすい場所だからです。非公開メディアには、サインイン中のブラウザ向けのストレージポリシーが一切ありません。読み取りはすべて、所有する行を先に確認したサーバーが署名し、アップロードも同じ方法で発行されます。

• 使い捨てのトークン — 招待、パスワードリセット、アカウント復旧 — はソルト付きハッシュで保存します。生のトークンはメールで一度だけ表示され、二度と表示されません。
• 公開されるのはブランディングだけです。組織のロゴとファビコンは誰かがサインインする前に描画される必要がありますが、アバターやレッスンのメディアはそうではないため、署名付きのままです。

ファイルは四つの実装を持つストレージインターフェースを通じて書き込まれます。Supabase Storage、Amazon S3、Azure Blob Storage、Google Cloud Storage です。所在地要件に対しては、たいていこれが正直な答えになります。ベンダーがリージョンを開設するのを待つのではなく、要求されたリージョンのバケットにファイルを書き込む構成にできるからです。要件は早めにお知らせください。今日それを満たせるかどうかを率直にお伝えします。

• データベース、認証、API が動く関数は Supabase がホストしています。これは構成で回避できない唯一の依存であり、DPA に明記しています。
• 組織ごとのカスタムドメインは Cloudflare 経由で提供され、証明書は自動発行されます。ベイルートでもミラノでも、学習者に見えるのは当社ではなく御社のドメインです。

プラットフォームのアナリティクスは PostHog の EU リージョンで動きます。抽象化層を挟んでいるため、製品に触れずにベンダーを交換できます。セッションリプレイはマスキングされ、学習者を記録することはありません。学習者向け画面はリプレイの計測対象になっていません。

• テキスト入力と個人データとして指定されたものは、リプレイがどこかへ送られる前にブラウザ内でマスキングされます。
• アナリティクスは同意を前提とし、組織が有効にしない限りオフです。未成年者に関するプロファイリングは、どの画面でも行いません。