本ドキュメントは「かぶ自動LOGIN」のセキュリティ設計と脆弱性報告の窓口について説明します。

• Windows Data Protection API (DPAPI) を使用
• DataProtectionScope.CurrentUser でユーザーアカウントに紐付け
• 追加 Entropy として固定文字列 KabuMSLauncher.v1.Bostok を併用
• 結果として暗号化された Base64 文字列を JSON ファイルに保存

%LOCALAPPDATA%\KabuMSLauncher\settings.json

• 同一 PC かつ同一 Windows ユーザーアカウントでのみ復号可能
• 設定ファイルだけを他 PC やユーザーにコピーしても復号不可
• exe バイナリだけを盗まれても、設定ファイルがなければ意味なし

本アプリは外部サーバーとの通信を一切行いません。

• ネットワーク機能は実装していません
• ID/パスワードを外部に送信することはありません
• テレメトリ・アナリティクス等の収集機能はありません
• 起動直後からネット接続を切断しても動作します

本ツールが自動化する範囲：

• ✅ MarketspeedⅡ.exe の起動
• ✅ ログイン画面のID入力
• ✅ ログイン画面のパスワード入力
• ✅ ログインボタンの押下

本ツールが意図的に自動化しない範囲：

• ❌ 追加認証（メールでの絵柄合わせ） — セキュリティ強度を保つため
• ❌ API アクセス
• ❌ 自動売買・発注
• ❌ ポジション管理・データ取得

セキュリティ上の問題を発見された場合、公開 Issue ではなく以下までご連絡ください：

📧 info@cabu.info

件名に [Security] を付けていただけると優先的に対応します。

本ツールは MarketspeedⅡ のログイン操作を補助するローカルツールであり、楽天証券株式会社とは無関係の独立した第三者開発ツールです。 本ツールが楽天証券のサーバーに直接アクセスすることはなく、すべての通信は MarketspeedⅡ 本体が行うものです。

本リポジトリで全ソースを公開しています。セキュリティ主張の検証用に、ご自身でビルドして比較することも可能です。 特に確認していただきたいファイル：

• KabuMSLauncher/Services/CredentialStore.cs — DPAPI 暗号化の実装
• KabuMSLauncher/Services/AppSettings.cs — 設定ファイル読み書き
• KabuMSLauncher/Services/MarketSpeedLauncher.cs — 起動・自動入力ロジック