評価データの流れ
管理された評価は、まずデータベース上で実行（run）と試行（attempt）の識別情報を作成するところから始まります。大容量のプロセス成果物は非公開のオブジェクトストレージに保存する計画であり、PostgreSQL にはステータス、簡潔な結果、公開に関する事実、監査記録および成果物マニフェストのメタデータを保存します。
未加工のリクエスト、レスポンス、トレース、ログ、スクリーンショットおよび添付ファイルは、公開ディレクトリのペイロードには含まれません。公開ページは、審査、マスキングおよびバージョン管理を経たスナップショットのみを読み込みます。
認証情報とテスト対象
中継サービスの認証情報は、保護されたシークレット参照として表現し、権限を持つサーバーまたはワーカーのプロセスにのみ提供しなければなりません。ブラウザーが中継サービスのシークレット、PostgreSQL の認証情報またはオブジェクトストレージの認証情報を受け取ることはありません。
評価対象には、プロトコル、ポート、DNS、リダイレクト、レスポンスサイズ、タイムアウトおよびプライベートネットワークに関する制限が適用されます。Folkbench が任意のネットワークプロキシとなることがあってはなりません。
アカウントとセッション
機能が有効な場合、設定済みの ID プロバイダーでの手続きが完了した後、Folkbench が発行するセッションでログインします。セッション Cookie はサーバー側で発行され、保護されています。ID プロバイダーのアクセストークンを、アプリケーションの認証情報として保存することはありません。事業者と運営チームのロールは、通常の認証とは分離されています。
オプションの分析
Folkbench は、機能の利用状況の把握、問題の調査およびサービスの改善を目的として、範囲を限定したファーストパーティの製品分析を既定で有効にしています。サイト間やプラットフォーム間のプロファイリングには使用しません。イベントスキーマには、検索テキスト、メールアドレス、完全な URL、IP アドレス、セッションリプレイおよび自動クリック記録は含まれません。外部への送信を有効にした場合、同じフィールドが PostHog US Cloud に送信されることがあります。
外部サービスとの境界
Folkbench は、ホスティング、マネージド PostgreSQL、非公開のオブジェクトストレージ、ID プロバイダー、分析、メール、および個別に有効化した場合に限り決済サービスを利用することがあります。各提供元は、それぞれの機能に必要な情報のみを受け取り、自らのサービスについて独立して責任を負います。公開ページでは、広告経由の訪問とコンバージョンを計測するため、Google 広告のタグ AW-18459159949 も読み込みます。
セキュリティ問題の報告
お問い合わせページを利用し、件名に「Folkbench security report」と明記してください。影響の簡潔な説明と、安全な再現手順を記載してください。パスワード、API キー、未加工の非公開エビデンス、個人データ、または直接悪用できる攻撃用のペイロードをメールで送信しないでください。