暗号化保管庫 · 安全な転送
Boxは、パスワード、リカバリーコード、メモ、ファイルのための暗号化された保管庫であり、それらをご自身の別のデバイスや他の誰かへ安全に送る手段でもあります。すべてはアップロード前にお使いのデバイス上で暗号化されるため、私たちのサーバーに保存されるのは常に暗号文だけです。
現在、アカウントは招待制です。共有を受け取る方にアカウントは必要ありません。 アクセスをリクエスト
AES-GCMキー。暗号化はお使いのデバイス上で行われます
パスワード推測1回あたりのメモリ（Argon2id）
私たちのサーバーに保存される、読める状態のコンテンツ
カード1枚あたりのファイル数（各2GBまで）
01 · Vault + Transfer
Boxはこの両方を、同じエンドツーエンド暗号化で実現します。秘密情報やファイルは必要な限り保管でき、必要なときにはご自身のデバイス間で移したり、他の人へ送ったりできます。
Vault
有効期限を「Never」に設定したカードは、削除するまでVaultに残ります。ログイン情報、Wi-Fiパスワード、PIN、リカバリーコード、APIキー、契約書、身分証のスキャンなどです。カードはお使いのすべてのデバイスにリアルタイムで同期されます。
Transfer
スマートフォンの写真をノートPCへ移したり、同僚にパスワードを渡したり、取引先に契約書を送ったり。すべて暗号化されたまま届き、しばらくの間だけ必要なカードは自動的に消えます。
02 · プレビュー
プレビューは、復号後にお使いのブラウザ内で表示されます。ファイルがサーバー上で変換されることは一切ないため、読む、観る、聴くときも、ゼロ知識は保たれたままです。
画像
画像付きのカードには、元の画像とは別に暗号化された小さなプレビューが表示されます。画像は全画面で開けます。2本指、またはCtrlキーとマウスホイールでズームでき、ダブルタップで拡大、カード内のファイルは矢印やスワイプで切り替えられます。
ドキュメント
PDFのページはpdf.jsで描画され、ページカウンターとズームも使えます。Word文書は見出し、リスト、表を保ったまま表示され、古いDOCファイルはテキストが表示されます。スプレッドシートはシートごとのタブで開きます。
閲覧専用のプレビューのため、数式や正確な書式は表示されません。
ZIPアーカイブ
サイズと行数付きのフォルダーツリーを閲覧し、テキスト、コード、PDF、Word、Excelファイルをアーカイブから直接開けます。フォルダーをBoxにドロップすると、ブラウザがZIPにまとめてくれます。
プロジェクトのアーカイブ向けの機能：コード内のファイル名はクリックでき、他のYAMLやJinjaファイルで定義された名前はその定義へジャンプします。YAMLの行にカーソルを合わせると、その行が構造のどこにあるかが表示され、KubernetesやAnsibleでよく使われるキーには短い説明が付きます。
動画
動画はブラウザ標準のプレーヤーで再生されます。対応形式はブラウザによって異なります（例：MP4、WebM）。
音声
再生と一時停止、10秒の巻き戻しと早送り、シークバーのドラッグに対応しています。MP3、WAV、OGG、M4Aなど、ブラウザが対応する形式を再生できます。
コードとテキスト
行番号、折り返し表示、新しいタブで開くリンクに対応しています。単語をダブルクリックすると、その単語が出てくる箇所がすべてハイライトされます。スマートフォンでは、ピンチ操作で文字サイズを変えられます。
03 · エディター
入力しても、貼り付けても、ドロップしても構いません。どのカードにも任意のタイトル、メモ、最大20個の添付ファイルを付けられ、すべて同じ方法で暗号化されます。
どのカードにもタイトルを付けられます。ファイルにはメモを添えることができ、カードとプレビューに表示されます。
Ctrl+Vでスクリーンショットをカードに追加するか、「Paste image」を使います。Androidでは、コピーしたばかりの画像が自動的に入力欄に追加されます。
ファイルは、ページ上にも開いているカードにもドロップできます。ドロップしたフォルダーは、暗号化の前にブラウザ内でZIPにまとめられます。
リンクだけを含むカードは、リンクカードになります。プレビューしたテキスト内のリンクには、新しいタブで開く小さなボタンが付きます。
テキストやタイトルの変更、ファイルの追加や削除は、いつでもできます。削除には必ず2回のクリックが必要です。
タイトル、名前、テキスト、添付ファイル名を、ブラウザ内でローカルに検索できます。「Expiring」「Vault」「Shared」を切り替えられ、Webアプリでは種類による絞り込みもできます。
15分から30日までを選ぶか、「Never」を選んでカードをVaultに残せます。期限が切れたカードとそのファイルは自動的に削除されます。
04 · 共有
受信者はアカウントなしで、どのブラウザでもリンクを開けます。画像、動画、音声、PDF、Word、Excelファイル、コード、ZIPアーカイブの中身をプレビューでき、ダウンロードボタンも表示されます。
リンクごとに、ランダムな256ビットのキーが個別に作られます。キーは#記号より後ろの部分にあり、ブラウザはこの部分をサーバーへ送信しません。アカウントにはご自身のキーでラップしたコピーが保存されるため、後からリンクをもう一度コピーできます。
15分から30日まで設定でき、カード自体の有効期限を超えることはありません。期限の変更、閲覧回数のリセット、新しいリンクの作成、リンクの無効化は、いつでも可能です。
リンクの閲覧回数を1回、3回、5回、10回のいずれかに制限できます。最後の閲覧が終わると、リンクは使えなくなります。
キーに加える第2の関門です。正しいパスワードが入力されて初めて、サーバーは暗号化されたデータを渡します。10回間違えるとリンクは5分間ロックされ、その後も間違えるたびに再びロックされます。
リンクを開くと、ブラウザにビューアーが表示されます。テキストはコピーでき、ファイルはプレビューもダウンロードもできます。
「Shared」ビューには、有効なリンクを持つカードがすべて集まります。カードを開くと、閲覧数と残り時間を確認できます。
1つのリンクで共有されるのは1枚のカード、つまりそのテキストかそのファイルです。カードの添付ファイルはリンクに含まれません。また、共有中のテキストカードを編集すると、そのリンクは無効になります。
05 · セキュリティ
Boxは、ひとつのルールを軸に設計されています。コンテンツの暗号化と復号は、お使いのデバイス上でしか行われません。その仕組みと、私たちのサーバーに実際に見えるものを、わかりやすく説明します。
テキスト、メモ、タイトル、ファイル名、ファイル、サムネイルは、アップロード前にブラウザ内で暗号化されます。データベースとファイルストレージにあるのは、暗号文とランダムなIVだけです。
ブラウザのWeb Crypto APIを通じて、256ビットキーのAES-GCMを使用します。暗号化のたびに新しいランダムなIVを使い、改ざんされたデータは復号に失敗します。
64MiBのメモリと3回の反復を使うArgon2idがパスワードをキーに変換するため、推測1回ごとのコストが高くなります。Argon2id導入前のアカウント（PBKDF2-SHA256、600,000回）は、次回のサインイン時に自動的にアップグレードされます。
カードを暗号化するのはランダムなデータキーで、パスワードはそのキーをラップするだけです。パスワードを変更してもキーをラップし直すだけで、データが再暗号化されることはありません。ロック解除後、ブラウザはキーを取り出せない形で保持し、7日間使われなければ破棄します。
アカウントの作成時に、160ビットのリカバリーコードが一度だけ表示されます。パスワードがリセットされた場合でも、このコードでデータのロックを再び解除できます。両方を失うと、誰もデータを復号できません。私たちにもできません。
お好みの認証アプリ（TOTP）のワンタイムコードを追加できます。サインイン中のデバイスとセッションをすべて確認でき、ワンクリックで他のすべてのデバイスからログアウトできます。
共有リンクは#記号の後ろに独自のキーを持つため、サーバーがそのキーを受け取ることはありません。任意のパスワードで第2の関門を追加できます。パスワードはPBKDF2-SHA256のハッシュとして保存され、10回間違えるとロックされます。
45MBを超えるファイルは、既定で8MBずつのチャンクに分けて暗号化され、チャンクごとに固有のIVが使われます。各チャンクはその位置と総数に結び付けられているため、順序を入れ替えたり途中で切り詰めたりしたデータは拒否されます。
PDFはスクリプトやフォームを使わずにキャンバスに描画され、Wordの内容は厳格なサニタイザー（DOMPurify）を通ります。また、ドキュメントは内容がファイル形式と一致しない限り開かれません。サーバー上で変換されるものは何もありません。
厳格なコンテンツセキュリティポリシーにより、アプリはbox.sortia.deからのみコードを読み込みます。HSTSを使用し、他サイトへの埋め込みはできません。広告、アクセス解析、トラッカーもありません。
Androidアプリは署名済みAPK内のコードで動作するため、私たちのサーバーがコードをすり替えることはできません。指紋によるサインインはAndroid Keystoreに封印されています（AES-256-GCM、利用可能な場合はStrongBox、強力な生体認証のみ）。バックグラウンドに移って1分から60分たつと、アプリロックでBoxを覆うことができます。
データベースとストレージは、ドイツのフランクフルトで稼働しています（Supabase、リージョンeu-central-1）。45MBを超えるファイルは、EU内の自社サーバーに保管されます。行レベルセキュリティにより、各アカウントは自分のデータにしかアクセスできません。
補足： Boxのパスワードは、サインイン用のパスワードも兼ねています。パスワードはTLSでサインインサービス（Supabase Auth）に送られ、そこではハッシュだけが保存されます。暗号化キーはそれとは別に、お使いのブラウザ内でパスワードから導出されます。Webアプリでは、アクセスのたびに私たちのサーバーがページのコードを配信しますが、Androidアプリはコードを署名済みAPKに内蔵しています。
個人データの取り扱いについて： プライバシーポリシー
06 · プラットフォーム
スマートフォンとパソコンでサインインすれば、新しいカード、編集、削除がほかのデバイスにリアルタイムで反映されます。
Web
インストールは不要です。Boxをアプリ（PWA）としてホーム画面やデスクトップに追加することもできます。
Android
Androidアプリは同じ暗号化アプリを包み、スマートフォンに必要な機能を加えています。Android 8以降に対応。
署名済みAPKを、box.sortia.deから直接。
07 · よくある質問
はい、パスワードやその他の秘密情報を安全に保管するという意味ではそうです。ログイン情報、Wi-Fiパスワード、PIN、リカバリーコード、APIキーを、カードとしてVaultに保存できます。これらはお使いのデバイス上で暗号化され、ほかのデバイスと同期され、検索もでき、サーバーはその内容を読めません。ただし、BoxはWebサイトやアプリにパスワードを入力しません。自動入力、ブラウザ拡張機能、パスワード生成機能、他のパスワードマネージャーからのインポートはありません。カードのテキストをワンクリックでコピーし、必要な場所に貼り付けてください。
いいえ。テキスト、メモ、タイトル、ファイル名、ファイル、サムネイルはアップロード前にお使いのデバイス上で暗号化され、サーバーには暗号文だけが保存されます。ただし、技術的なメタデータは見えます。メールアドレス、カードの作成日時と有効期限、カードの種類、サイズ、ファイル形式、Vaultにあるかどうか、そして共有設定です。
パスワードは、サインインとデータキーの両方を守っています。アカウントの作成時に、Boxはリカバリーコードを一度だけ表示しますので、安全な場所に保管してください。パスワードがリセットされた場合は、新しいパスワードでサインインし、「Forgot password? Use recovery code」を選んでコードを入力します。Boxがデータのロックを解除し、データキーを新しいパスワードでラップします。リカバリーコードがなければ、私たちを含め誰もデータを復号できません。
現在、Boxには有料プラン、アプリ内課金、広告はなく、アカウントは招待制です。各アカウントには、期限付きのアイテムを最大1,000件、Vaultのアイテムを最大500件保存でき（添付ファイルは1つにつき1件と数えます）、ファイルは1つあたり最大2GBです。アカウントごとの合計容量には上限があり、現在の使用量はアプリに表示されます。
いいえ。共有リンクは、アカウントもアプリもなしで、モダンブラウザならどれでも開けます。受信者はプレビューを見て、ファイルをダウンロードできます。パスワードを設定した場合は、そのパスワードも必要です。
EU内です。データベースとファイルストレージはドイツのフランクフルトで稼働しており（Supabase、リージョンeu-central-1）、45MBを超えるファイルはEU内の自社サーバーに保存されます。すべてのデータは、お使いのデバイスを離れる前に暗号化されます。 プライバシーポリシー
Boxのアカウントは現在、招待制です。ご希望の方は info@sortia.de までご連絡ください。送信した共有リンクは、誰でも開くことができます。
1ファイルあたり最大2GB、カード1枚あたり最大20ファイルです。45MBを超えるファイルは、暗号化されたチャンクに分けて、EU内の自社サーバーへアップロードされます。
画像、PDF、Word（DOCX、DOCはテキストのみ）、スプレッドシート（XLSX、XLS、ODS）、ZIPアーカイブ、音声、動画、そして50言語のテキストやコードです。その他のファイルも、保存、共有、ダウンロードができます。
ご希望の場合だけです。15分から30日の間で有効期限を選ぶと、期限が来た時点でカードとそのファイルは自動的に削除されます。「Never」に設定したカードは、削除するまでVaultに残ります。
アプリの画面表示は英語です。カードには、どの言語のテキストでも保存できます。
すでにアカウントをお持ちの方は、ブラウザまたはAndroidでBoxを開いてください。初めての方は、招待をリクエストしてください。
Sortia Labs (sortia.de) · Software · Cloud · AI