Pixelayのセキュリティ

PixelayはFigmaアプリ内で動く公式プラグインで、Figmaチームの審査と承認を受けています。

このFigmaプラグインはFigma自身のサーバーから直接実行され、お使いのFigmaファイルの中で動作します。そのため、データ保護とセキュリティに関する業界標準を上回る、Figmaプラットフォームのセキュリティとインフラストラクチャをすべて引き継いでいます。

  • SOC 2 Type 2
  • SOC 3
  • Cloud Security Alliance (CSA) STAR: Level 1
  • ISO/IEC 27001:2013
  • ISO/IEC 27018:2019
  • EU Cloud Code of Conduct (COC): Level 2

Figmaプラグインは、Figma自体に組み込まれた標準機能の一部として動作するため、このFigmaプラグインを使うために追加のソフトウェアをインストールする必要はありません。すべてのFigmaプラグインは、どのFigmaファイルからでも、またFigmaアプリ内の公式Figma Communityからでも、すぐにアクセスして実行できます。

組織でFigmaの使用がすでに承認されている場合は、Figmaプラグインもすでに利用できる状態です。

Pixelayの仕組み ​

Pixelay Figmaプラグインは、Figmaのデザインモックアップと実際のWebサイトのURLを比較するためのプラグインです。

Pixelayはプライバシーとセキュリティを重視して設計されています。比較はすべてPixelayブラウザ拡張機能を通じてユーザー自身のドメイン上で行われ、アップロードされる画像はすべてAES-256で暗号化されます。

Pixelay Web Appは、比較用に指定されたユーザー自身のドメインのURLを<iframe title="Pixelay Security interactive preview 1">タグとして読み込みます。これにより、ブラウザ上の同じWebページで複数のページやデザインを同時に比較できます。Webサイトの内容がアップロード、処理、利用、読み取りされることは一切なく、Pixelayブラウザ拡張機能を介して<iframe title="Pixelay Security interactive preview 2">に埋め込まれた「読み取り専用」の状態になるだけです。

PixelayプラグインとPixelay Web Appが使うアップロードやクラウドストレージのサービスは、Google Firebaseを通じてGoogle Cloud（Googleが自社のすべての製品をホストしているのと同じインフラ）上でホストされています。

Privacy and Security in Firebaseによると、Firebaseのすべてのサービス（App Indexingを除く）はISO 27001、SOC 1、SOC 2、SOC 3の評価プロセスを完了しており、一部のサービスはISO 27017とISO 27018の認証プロセスも完了しています。

Pixelayが行うこと・行わないこと ​

PixelayはFigma Plugins APIを使ってFigmaのデザインをエクスポートし、ブラウザ上でPixelayブラウザ拡張機能を通じてユーザー自身のWebサイトのURLと比較できるようにします。

Pixelayが行うこと ​

  • デザインとユーザー自身の実際のWebサイトのURLを比較するリンクを生成できるようにします（Figmaアカウントは不要です）。
  • Pixelayブラウザ拡張機能を使って、固有のIDを（ユーザー自身のドメイン上で）表示できるようにします。
  • アップロードされる画像をAES-256で暗号化します。
  • 180日間アクセスがないURLやアップロードを自動的に削除します。

Pixelayが行わないこと ​

  • プラグインを通じたデザインを、一般に公開したり、検索エンジンにインデックスさせたりすることは一切ありません。
  • 公開URLを作成しません（ブラウザ拡張機能はユーザー自身のドメイン上でのみ動作します）。
  • 個人情報を一切収集・保存しません（Figmaプラグインは、Figmaのプロジェクト、チーム、ユーザーに関する非公開情報にアクセスできません）。

Figmaプラグインの仕組み ​

FigmaプラグインはHTML/CSS/JavaScriptで書かれており、Figmaアプリケーション本体の中にある、厳しく管理されたサンドボックス環境で実行されます。

Figmaプラグインができるのは、Figma Plugins APIの権限の範囲内でFigmaが許可していることだけです。また重要な点として、プラグインは、プラグインを実行しているFigmaユーザーの個人情報には一切アクセスできません。

Figmaプラグインにできること・できないこと ​

Figmaプラグインのセキュリティに関する記事にあるとおり、Figmaプラグインにできることは限られており、できないことのほうがずっと多くあります。

Figmaプラグインにできること ​

  • ユーザーが明示的に操作した場合にのみ実行される
  • プラグイン専用の1つのダイアログにUIを表示する
  • Figmaドキュメント内のあらゆるデータを読み取る（例：「名前でレイヤーを探す」プラグイン）
  • Figmaドキュメント内のあらゆるデータを変更する（例：「選択したレイヤーの名前を変更する」プラグイン）
  • インターネット上のあらゆるサーバーと通信する（例：「サービスXからインポートする」プラグイン）

Figmaプラグインにできないこと ​

  • 自動的に実行される
  • ファイルを所有するプロジェクトやチームの情報を取得する
  • 実行されていないときに何かにアクセスする
  • 実行されたファイル以外のファイルのデータにアクセスする
  • プラグインのUIダイアログ以外のFigmaのUIを変更する

社内のFigmaアカウント管理者は、組織内で使用を許可するプラグインの許可リストを設定できます。これにより、その組織のどのファイルでも、信頼できないFigmaプラグインが実行されるのを防げます。