Screshot

セキュリティ審査資料パック

セキュリティ審査担当者に必要な情報をすべて

ベンダー審査や IT セキュリティ審査で Screshot Chrome 拡張機能について聞かれる質問への回答を、PDF として保存できる 1 ページにまとめました。最終確認日: 2026年10月30日。

質問する

1. 概要

製品Screshot。スクリーンショットのキャプチャ、ぼかし、注釈のための Chrome 拡張機能
配布Chrome Web Store、拡張機能 ID ikhdemckhflgmlijkaomcpdmljegkakh
ユーザー数Chrome Web Store で 20,000+
価格キャプチャ、ぼかし、注釈は、個人にも組織にも無料です。共有には、アカウントごとに 1 GB の暗号化ストレージが無料で含まれています。
Screshot が処理する顧客データキャプチャと編集ではなし。ユーザーが共有を選んだスクリーンショットについては、Screshot が復号できないエンドツーエンド暗号化された画像ファイルと、アカウントおよび共有のメタデータ
キャプチャと編集中のネットワークリクエストなし
ユーザーアカウント任意で、共有にのみ必要。Google ログイン。パスワードなし
共有スクリーンショットの暗号化エンドツーエンド: スクリーンショットごとに AES-256-GCM、鍵は ECDH P-256 で交換、パスキーまたは復元コードでロック解除
認証現時点ではなし(SOC 2、ISO 27001 なし)
セキュリティの連絡先contact@screshot.com

2. データの流れ

  1. ユーザーがツールバーのアイコン、キーボードショートカット、または右クリックメニューでキャプチャを開始します。すると Chrome が、その 1 つのタブへの一時的なアクセスを許可します(activeTab)。
  2. Chrome が表示領域をレンダリングします。ページ全体の場合は、拡張機能がタブをスクロールし、各部分をメモリ内でつなぎ合わせて、ページを元に戻します。
  3. 画像は、拡張機能に同梱されたページ(chrome-extension://)で開きます。このページはリモートのコード、フォント、分析を一切読み込みません。
  4. ユーザーがぼかし、切り抜き、注釈を行います。ぼかしはピクセルに書き込まれます。
  5. ユーザーが画像をクリップボードにコピーするか、PNG をダウンロードします。タブを閉じると画像は破棄されます。デバイスの外に出たものは何もありません。

確認方法: chrome://extensions を開き、Developer mode を有効にして、Screshot のサービスワーカーを検証し、キャプチャ中に Network タブを確認します。ブラウザから出るリクエストはありません。

リンクでの共有(任意、エンドツーエンド暗号化)

  1. 任意です。ユーザーが Share をクリックし、Google でログインします(chrome.identity)。ログインは初回のみです。
  2. 初回の共有で、ブラウザ内にユーザーの暗号鍵が設定されます: ECDH P-256 の鍵ペアで、その秘密鍵はパスキー(WebAuthn PRF)または復元コードでラップされます。
  3. ブラウザがこのスクリーンショット用にランダムな AES-256-GCM 鍵を作成し、編集済みの画像とサムネイルをその鍵で暗号化します。
  4. Cloudflare R2 にアップロードされるのは暗号化されたファイルだけです。鍵は所有者の公開鍵向けにラップされた状態で保存され、平文で保存されることは決してありません。
  5. 招待されたユーザーは、各自の公開鍵向けにラップされた鍵を受け取ります。「リンクを知っている全員」での共有では、鍵はリンクの # の後ろに置かれ、この部分をブラウザはサーバーに送信しません。
  6. 閲覧者のブラウザは、数分以内に期限が切れる署名付きアドレスを通じて暗号化されたファイルを取得し、ローカルで復号します。

確認方法: スクリーンショットを共有し、アップロードを検証します。本文は画像ではなく、SCE1 で始まる暗号化されたバイトのファイルであり、鍵を含むリクエストはありません。

3. 権限

権限用途できないこと
activeTabアイコンをクリックするかショートカットを使ったその時点に限り、目の前のタブをキャプチャします。ほかのタブを読み取ること、バックグラウンドで動作すること、閲覧履歴を見ること。
scriptingページ全体のキャプチャ中に、キャプチャしているタブをスクロールし、その後まったく元どおりに戻します。Screshot にキャプチャを求めていないページで動作すること。
contextMenusScreshot アイコンの右クリックメニューに「Capture visible area」と「Capture full page」を追加します。ウェブページのメニューを変更すること、クリックした内容を読み取ること。
storage拡張機能専用のストレージに、このデバイスでの Screshot のログイン状態を保持します。Cookie、パスワード、ウェブサイトが保存しているものを読み取ること。
identity共有を選んだときに、エディタから離れずに、専用のウィンドウで Google ログインを開きます。Google のパスワードを見ること、Screshot 以外のものにログインさせること。

ホスト権限はなく、履歴、Cookie、ダウンロードへのアクセスもありません。

4. データ一覧

システム個人データ保管場所
拡張機能ユーザーが共有する場合の、ユーザーのログイントークンのみユーザーのデバイス上の拡張機能ストレージ
アカウント共有するユーザーのメールアドレス、名前、プロフィール画像のアドレス、Google IDPostgreSQL (AWS eu-central-1)
共有スクリーンショット暗号化された画像とサムネイル。タイトル、サイズ、寸法、モード、日付、表示回数暗号化されたファイルは Cloudflare R2、メタデータは PostgreSQL (AWS eu-central-1)
暗号鍵公開鍵、およびラップされた(暗号化された)形式のみの秘密鍵とスクリーンショットごとの鍵PostgreSQL (AWS eu-central-1)
招待招待されたメールアドレスとアクセスリクエストPostgreSQL (AWS eu-central-1)。招待メールは Amazon SES で送信
ウェブサイトの訪問数集計されたページビュー。Cookie なし、識別子なしCloudflare Web Analytics(ウェブサイトのみ)
アンインストール時のアンケート選ばれた理由と拡張機能のバージョン(1 日ごとの合計)PostgreSQL (AWS eu-central-1)
展開サポートのフォーム名前、勤務先のメールアドレス、会社、チームの規模、トピック、メッセージSanity(公開で読めないレコード内)
私たちへのメッセージメールに含まれる内容すべて私たちのメールプロバイダ

5. サブプロセッサ

キャプチャと編集ではサブプロセッサを使用しません。ウェブサイトと任意の共有機能では、以下のサービスを使用します:

サービス目的範囲
Amazon Web Services共有機能を動かすサーバー(データベースと API)、ディスクのバックアップ、招待とアクセス リクエストのメール(Amazon SES)。eu-central-1(フランクフルト)共有
Cloudflareウェブサイトの配信と Cookie を使わない訪問数の集計。暗号化されたファイルの R2 ストレージと配信(img.screshot.com)。API の配信。暗号化されたデータベースのバックアップ(R2、EU)ウェブサイトと共有
Googleログイン(OAuth)共有
Sanityブログのコンテンツと展開サポートのフォームウェブサイトのみ

6. 質問票への回答

製品は顧客データを保存、処理、送信しますか?
キャプチャと編集では行いません。スクリーンショットはユーザーのデバイスに残ります。ユーザーがスクリーンショットの共有を選んだ場合、Screshot はそれをエンドツーエンドで暗号化された状態で、上記のアカウントおよび共有のメタデータとともに保存します。Screshot は画像を復号できません。
拡張機能はどのようなネットワーク接続を行いますか?
キャプチャ、編集、コピー、ダウンロードの間は一切行いません。screshot.com に接続するのは、ユーザーがログインまたは共有するときだけです。また、手動インストール後のウェルカムガイドと、任意のアンインストール時アンケートのために、screshot.com のページを通常のタブで開きます。
分析、テレメトリ、サードパーティのスクリプトは含まれていますか?
いいえ。リモートサーバーから読み込まれるものはなく、拡張機能には分析もクラッシュレポートもありません。
どのようなブラウザ権限を要求しますか?
activeTab scripting contextMenus storage identity。いずれもインストール時の警告は表示されず、ホスト権限もありません。上の表をご覧ください。
ほかのタブ、閲覧履歴、Cookie を読み取れますか?
いいえ。activeTab がアクセスを与えるのは、ユーザーがキャプチャを選んだタブだけで、それもその時点のみです。
データは転送中と保存時に暗号化されていますか?
はい。すべて HTTPS で配信され、共有スクリーンショットはアップロード前にブラウザ内でエンドツーエンドで暗号化されます(AES-256-GCM)。そのため、Screshot が持たない鍵で保存時も暗号化されています。詳細はセキュリティの概要をご覧ください。
Screshot のスタッフは共有スクリーンショットを見られますか?
いいえ。スタッフはタイトルや招待されたメールアドレスなどのメタデータを見られますが、画像は見られません。唯一の例外は、報告者が鍵を含めることを選んだ不正利用の報告で、その場合モデレーターはその 1 枚のスクリーンショットを確認できます。
ユーザーがパスキーを失った場合はどうなりますか?
復元コードでロックを解除し、その後新しいパスキーを追加できます。両方を失った場合、その人の共有スクリーンショットは Screshot を含め誰も復号できません。
SSO、SCIM、ロールベースのアクセスに対応していますか?
現時点では対応していません。キャプチャにアカウントは不要です。共有には Google ログインを使用し、各所有者がスクリーンショットごとにアクセスを管理します: 自分のみ、招待したユーザー、またはリンクを知っている全員。
データはどのように削除されますか?
ユーザーが自分でスクリーンショットを削除します。ゴミ箱は 30 日後に、または「完全に削除」ですぐに、データベースとストレージの両方から消去されます。設定でアカウントを削除すると、すべてがすぐに消去されます。
どのように展開し、削除しますか?
Google Admin console、Microsoft Intune、Group Policy、または macOS プロファイルで強制インストールし、同じポリシーから削除します。展開ガイドをご覧ください。
更新はどのように配信され、審査されますか?
Chrome Web Store を通じて配信され、Chrome Web Store が各バージョンを審査します。新しいバージョンが警告の表示される権限を要求した場合、ユーザーまたは管理者が承認するまで Chrome はその拡張機能を無効にします。
管理者は実行するバージョンを管理できますか?
Chrome ポリシーで、ID によって拡張機能を許可、ブロック、強制インストールできます。特定のバージョンの固定は Chrome Web Store ではサポートされていません。
製品は独立したペネトレーションテストを受けていますか?
まだ受けていません。実施後、NDA のもとで結果をお客様と共有します。
脆弱性はどのように扱っていますか?
contact@screshot.com までご報告ください。報告を受領したことをお知らせし、公開する前に修正のための合理的な期間をいただくようお願いしています。
セキュリティインシデントや重要な変更はどのように通知されますか?
権限やデータの取り扱いの変更は、その変更を含むバージョンをリリースする前に、セキュリティページとプライバシーポリシーで公開します。

7. 予定されている変更

管理者が組織全体で共有をオフのままにできる Chrome ポリシーと、独立したペネトレーションテストを予定しています。データの流れ、保存データ、サブプロセッサの変更は、まずここで公開します。

ここにない情報が必要ですか?

質問票をお送りいただければ記入します。チームとの通話をご依頼いただくこともできます。

展開のサポートを受ける