在席管理システムのセキュリティで確認すること

会社ごとのデータ分離

複数会社が同じサービスを利用する場合、会社Aの利用者が会社Bの情報を取得できないことが重要です。NARABI Officeではデータに組織IDを持たせ、PostgreSQLのRow Level Security（RLS）を利用して会社単位のアクセス制御を行います。

パスワードは平文保存しない

パスワードは運営者や会社管理者が読める文字列として保存すべきではありません。NARABI Officeではパスワードをハッシュ化して保存し、管理者にも元のパスワードを表示しません。忘れた場合は再設定用の仕組みを利用します。

招待URLも秘密情報として扱う

招待URLを知っている人が会社へ参加できる設計では、URL自体を秘密情報として扱う必要があります。NARABI Officeでは招待トークンを保護して保存し、有効期限や利用可能人数を設定できます。利用者側でも第三者へ不用意に転送しない運用が必要です。

ログイン後の会社情報を検索エンジンへ出さない

SEOで公開すべきなのはサービス説明、ガイド、FAQ等の公開コンテンツです。会社コード付きログイン情報、招待、再設定、QRチェックイン等のURLは検索結果へ出すべきではありません。NARABI Officeでは秘密情報を含む可能性があるURLについて検索エンジンへの露出を抑える構成を採用しています。

公開ページと業務データを分けて考える

Google検索に評価してもらうための公開コンテンツを増やしても、会社内の在席データを公開する必要はありません。SEO対象は「在席ボードとは」「導入方法」「セキュリティ」などの説明ページに限定し、ログイン後データは認証下に置くことが基本です。