---
url: "/ja/commentful/faq/security.md"
description: "CommentfulはFigmaのアプリ内で動作する公式プラグインで、Figmaチームによる審査と承認を受けています。"
---

# Commentfulのセキュリティ

> CommentfulはFigmaのアプリ内で動作する公式プラグインで、Figmaチームによる審査と承認を受けています。

このFigmaプラグインはFigma自身のサーバーから直接実行され、お使いのFigmaファイルの中で動作します。そのため、データ保護とセキュリティに関する業界標準を上回る、Figmaプラットフォームの[セキュリティ](https://www.figma.com/security/)とインフラストラクチャをすべて引き継いでいます。

- SOC 2 Type 2
- SOC 3
- Cloud Security Alliance (CSA) STAR: Level 1
- ISO/IEC 27001:2013
- ISO/IEC 27018:2019
- EU Cloud Code of Conduct (COC): Level 2

Figmaプラグインは、Figma自体に組み込まれた標準機能の一部として動作するため、このFigmaプラグインを使うために**追加のソフトウェアをインストールする必要はありません**。すべてのFigmaプラグインは、どのFigmaファイルからでも、またFigmaアプリ内の公式[Figma Community](https://www.figma.com/community)からでも、すぐにアクセスして実行できます。

組織でFigmaの使用がすでに承認されている場合は、Figmaプラグインも*すでに利用できる状態*です。

## Commentfulの仕組み

[Commentful Figmaプラグイン](https://www.figma.com/community/plugin/1030968261424288884)は、[Figma Plugins API](https://www.figma.com/plugin-docs/)と[Figma REST API](https://www.figma.com/developers/api)を使って現在のファイルのFigmaコメントを読み込み、プラグインのユーザーインターフェース上で整理できるようにします。

また、ToDoリストでタスクを管理することもできます。ToDoはFigma Plugins APIを通じてFigmaファイルそのものの中に保存され、プラグインの外にアップロード、保存、利用されることは*一切ありません*。

必要に応じて「Review」リンクを作成することもできます。パスワードで保護されたURLを作成し、ユーザーの判断でステークホルダーと共有すると、ステークホルダーはFigmaアカウントがなくても、CommentfulのWebアプリからデザインにフィードバックを残せます。

CommentfulプラグインとCommentful Webアプリで使われるアップロードやクラウドストレージのサービスは、[Google Firebase](https://firebase.google.com/)を通じて[Google Cloud](https://cloud.google.com/)（Googleが自社のすべての製品をホストしているのと同じインフラ）上でホストされています。

[Privacy and Security in Firebase](https://firebase.google.com/support/privacy)によると、Firebaseのすべてのサービス（App Indexingを除く）は**ISO 27001**および**SOC 1**、**SOC 2**、**SOC 3**の評価プロセスを完了しており、一部のサービスは**ISO 27017**と**ISO 27018**の認証プロセスも完了しています。

## Commentfulが行うこと・行わないこと

Commentfulは[Figma Plugins API](https://www.figma.com/plugin-docs/)と[Figma REST API](https://www.figma.com/developers/api)を使って現在のファイルのFigmaコメントを読み込み、プラグインのユーザーインターフェース上で整理できるようにします。

### Commentfulが行うこと

- 公式の[Figma REST API](https://www.figma.com/developers/api)を通じてFigmaファイルをプラグインに接続し、現在のFigmaユーザーに代わって、現在のファイルのFigmaコメントを読み込んだり投稿したりできるようにします。
- アップロードされた画像をAES-256で暗号化します。
- コメント、ToDo、フィードバックをエクスポートしたCSVファイルを、ユーザーのコンピューターに直接ダウンロードします。
- 必要に応じて、ステークホルダーと共有できるパスワード保護付きの「Review」リンクを作成できるようにします。

### Commentfulが行わないこと

- Figmaファイルのデザインに含まれるコメント、ToDo、その他のデータを共有することは*一切ありません*。
- プラグインで作成したパスワード保護付きの「Review」URLを一般公開したり、検索エンジンにインデックスさせたりすることは*一切ありません*。
- 個人情報を収集または保存することは*一切ありません*（Figmaプラグインは、Figmaのプロジェクト、チーム、ユーザーに関する非公開の情報にアクセス*できません*）。

## Figmaプラグインの仕組み

FigmaプラグインはHTML/CSS/JavaScriptで書かれており、Figmaアプリケーション本体の中にある、厳しく管理された[サンドボックス環境](https://www.figma.com/plugin-docs/how-plugins-run/)で実行されます。

Figmaプラグインができるのは、[Figma Plugins API](https://www.figma.com/plugin-docs/)の権限の範囲内でFigmaが許可していることだけです。また重要な点として、**プラグインは、プラグインを実行しているFigmaユーザーの個人情報には一切アクセスできません**。

## Figmaプラグインにできること・できないこと

[Figmaプラグインのセキュリティ](https://www.figma.com/blog/how-we-built-the-figma-plugin-system/)に関する記事にあるとおり、Figmaプラグインにできることは限られており、できないことのほうがずっと多くあります。

### Figmaプラグインにできること

- ユーザーが明示的に操作した場合にのみ実行される
- プラグイン専用の1つのダイアログにUIを表示する
- Figmaドキュメント内のあらゆるデータを読み取る（例：「名前でレイヤーを探す」プラグイン）
- Figmaドキュメント内のあらゆるデータを変更する（例：「選択したレイヤーの名前を変更する」プラグイン）
- インターネット上のあらゆるサーバーと通信する（例：「サービスXからインポートする」プラグイン）

### Figmaプラグインに*できない*こと

- 自動的に実行される
- ファイルを所有するプロジェクトやチームの情報を取得する
- 実行されていないときに何かにアクセスする
- 実行されたファイル以外のファイルのデータにアクセスする
- プラグインのUIダイアログ以外のFigmaのUIを変更する

> **Tip:** 社内のFigmaアカウント管理者は、組織内で使用を許可するプラグインの[許可リストを設定](https://help.figma.com/hc/en-us/articles/4404228724759-Manage-plugins-and-widgets-in-an-organization)できます。これにより、その組織のどのファイルでも、信頼できないFigmaプラグインが実行されるのを防げます。