お客様のTelegramアカウントはビジネス資産であり、それをどのプラットフォームに接続するにしても、精査に値します。ここでは、GramClawがセキュリティをどのように扱うか、そして何がお客様の手に委ねられているかをご説明します。
出発点となる原則は、GramClawがお客様のTelegramパスワードを決して保有しないということです。アカウントは、お客様ご自身のデバイスから承認する安全な接続フローを通じてリンクされ、資格情報ではなくセッションが生成されます。そして、アカウントの接続を解除することで、そのセッションをいつでも断ち切ることができます。
GramClawによる保護
- パスワードを保存しません。接続には承認されたセッションのフローを使用し、資格情報を保存することは決してありません。
- スコープ付きAPIキー。すべてのキーは、お客様が付与するスコープ（read／send）に、そしてお客様のワークスペースのアカウントのみに限定されます。
- キーは一度だけ表示されます。完全な gc_live_… キーは作成時にのみ表示されるため、後から気軽に読み直すことはできません。
- 即時の取り消し。キーの削除やアカウントの接続解除は、直ちに有効になります。
- チームメンバーごとの個別ログイン。チームメンバーはそれぞれのアカウントを持ちます。コラボレーションにパスワードの共有が必要になることは決してありません。
- Stripeを通じたお支払い。カード情報はGramClawのサーバーではなく、Stripeに送られます。
お客様側での推奨される運用
- APIキーはパスワードのように扱いましょう。共有ドキュメントやコードリポジトリではなく、シークレットマネージャーに保管してください。
- 可能な限り読み取り専用のスコープを使いましょう。ほとんどのダッシュボードやレポートにsendは不要です。
- 連携ごとに1つのキーを作成すれば、1つを取り消しても他が壊れることはありません。
- 使わなくなったキーは取り消し、アクセス権を持つ人がチームを離れたらキーをローテーションしましょう。
- 信頼できるチームメンバーだけを招待しましょう。ワークスペースは、設計上、その会話を共有します。
- Telegram自体で2段階認証を有効にしましょう。それは、ここだけでなく、あらゆる場所で基盤となるアカウントを保護します。
何かおかしいと感じたら
- 1
まず露出したキーを取り消す
疑わしいAPIキーは、設定 → APIキー で削除しましょう。削除された瞬間に機能しなくなります。
- 2
Telegramで接続中のセッションを確認する
Telegramアプリで、アクティブなセッションを確認し、見覚えのないものはすべて終了させましょう。
- 3
アカウントを接続解除して再接続する
GramClawで接続を解除するとセッションが断ち切られます。問題が解消したら、安全なフローを通じて再接続しましょう。
- 4
ワークスペースのメンバーを見直す
アクセス権を持つ全員が、今もそれを持つべき人であることを確認しましょう。
よくある質問
アクセスを取り消せますか？
はい。設定からAPIキーを削除し、リンクを解除したいTelegramアカウントの接続を解除できます。どちらも直ちに有効になります。
GramClawは私のTelegramパスワードを見ますか？
いいえ。接続はお客様ご自身のデバイスから承認します。GramClawが保持するのは取り消し可能なセッションであり、お客様の資格情報を保持することは決してありません。
GramClawはどのようなデータを保存しますか？
接続されたアカウントのチャットとメッセージは、受信トレイ、検索、AIが機能するようにGramClawのストアに同期されます。アカウントの接続を解除すると、その同期は停止します。