確かめられる地図。

あなたが書いたもの・尋ねたもの — ログイン、投稿、Atlas への質問（IntMap 自身の基盤）

1 件の接続先 — vpekfwdpurzejrrmacac.supabase.co

パスワードのハッシュの先頭 5 文字（パスワード自体は送られません）

1 件の接続先 — api.pwnedpasswords.com

ウェブアドレス — 読もうとした記事の URL

1 件の接続先 — r.jina.ai

言葉 — 検索した・開いた地名や話題

8 件の接続先 — *.wikipedia.org, api.gdeltproject.org, en.wikipedia.org, geocoding-api.open-meteo.com, news.google.com, nominatim.openstreetmap.org, photon.komoot.io, query.wikidata.org

地点 — 選んだ場所の座標

12 件の接続先 — air-quality-api.open-meteo.com, api.met.no, api.open-meteo.com, api.opentopodata.org, api.transitous.org, archive-api.open-meteo.com, earthquake.usgs.gov, maps.google.com, maps.googleapis.com, marine-api.open-meteo.com, mghydro.com, valhalla1.openstreetmap.de

画面の地図範囲 — どのタイルを描くか

31 件の接続先 — *.basemaps.cartocdn.com, a.basemaps.cartocdn.com, a.tiles.openrailwaymap.org, api.mapbox.com, api.worldpop.org, b.basemaps.cartocdn.com, b.tiles.openrailwaymap.org, c.tiles.openrailwaymap.org, elevation-tiles-prod.s3.amazonaws.com, elevation-tiles-prod.s3.dualstack.us-east-1.amazonaws.com, elevation-tiles-prod.s3.us-east-1.amazonaws.com, gaez-services.fao.org, geo.vliz.be, gibs.earthdata.nasa.gov, mts*.google.com, overpass-api.de, overpass-api.openhistoricalmap.org, overpass.kumi.systems, overpass.private.coffee, s3.amazonaws.com, s3.dualstack.us-east-1.amazonaws.com, server.arcgisonline.com, services.arcgisonline.com, services.sentinel-hub.com, stream.aisstream.io, tilecache.rainviewer.com, tiles.maps.eox.at, tiles.openfreemap.org, tiles.openseamap.org, vtiles.openhistoricalmap.org, wmts.terrascope.be

識別子 — 国コード、便名、衛星番号など

15 件の接続先 — api-v2.oec.world, api.planespotters.net, api.worldbank.org, celestrak.org, date.nager.at, flagcdn.com, geo.datav.aliyun.com, media.githubusercontent.com, ourworldindata.org, query1.finance.yahoo.com, stat.ripe.net, www.geoboundaries.org, www.google.com, www.imf.org, www.youtube-nocookie.com

このページを訪れたこと

2 件の接続先 — fonts.googleapis.com, fonts.gstatic.com

あなたや地図について何も送らない — 公開データの固定の取得

42 件の接続先 — api.alternative.me, api.coingecko.com, api.frankfurter.dev, api.fxratesapi.com, api.gold-api.com, api.ioda.inetintel.cc.gatech.edu, api.rainviewer.com, api.tfl.gov.uk, api.weather.bom.gov.au, api.weather.gc.ca, api.weather.gov, api.wheretheiss.at, api.wikimedia.org, apiprevmet3.inmet.gov.br, atlas.ripe.net, cdn.jsdelivr.net, cwwp2.dot.ca.gov, data.weather.gov.hk, davidmegginson.github.io, deepstatemap.live, fonts.openmaptiles.org, gisco-services.ec.europa.eu, hacker-news.firebaseio.com, ll.thespacedevs.com, maps.dwd.de, mapservices.weather.noaa.gov, mempool.space, open.er-api.com, openmeteo.s3.amazonaws.com, raw.githubusercontent.com, services.arcgis.com, services.swpc.noaa.gov, tie.digitraffic.fi, unpkg.com, upload.wikimedia.org, volcano.si.edu, volcanoes.usgs.gov, weathercam.digitraffic.fi, www.jma.go.jp, www.nmc.cn, www.submarinecablemap.com, www.who.int

第三者のアクセス解析なし

アクセス解析やセッション記録のサービスは読み込んでいません。利用状況は IntMap 自身が匿名で数えており、設定でオフにできます。

記載のないスクリプトは動かない

ページのセキュリティポリシーは、IntMap 自身のサイト・名前を挙げた少数の配信元・バイト列を登録したインラインのコードだけを実行します。ページに注入されたスクリプトは、ブラウザが拒否します。

正直に: 3D 地球儀には eval が必要です

使用している 3D エンジンが必要とするため、ポリシーはテキストからのコードの生成（unsafe-eval）をまだ許可しています。受け入れたリスクとして記録しており、エンジンが不要になった日にはテストが赤くなります。

パスワードは送らずに確認

パスワードを決めるとき、漏えいの有無はハッシュの先頭 5 文字だけを送って確認し、照合はブラウザの中で行います。

ライブラリを既知の脆弱性と照合

毎週と変更のたびに、ブラウザに届けるライブラリを公開の脆弱性情報のデータベースと照合しています。パッケージの一覧が実際に入るライブラリと食い違う変更は受け付けません。

あなたのデータは見て持ち出せる

ログイン中は「アカウント」の「あなたのデータ」で、アカウントが保持するすべてを一覧し、完全なコピーをダウンロードできます。アカウントを削除すると、すべて削除されます。

報告していただきたいもの

• 地図・各ページ・管理画面でのスクリプト注入（XSS）
• 他の人のデータの閲覧・変更、ログインや AI の利用枠の回避
• コードやサイトに露出した本物の秘密情報
• IntMap が名前を挙げていない接続先への通信

脆弱性ではないもの

• ページの中の公開用データベースキー — 公開される前提のもので、アクセスはデータベースの行単位の規則で制御しています
• 静的ホスティングが設定できないレスポンスヘッダ（X-Frame-Options など）— ページ内のポリシーで代替しています
• IntMap が読む公開データサービスの回数制限や費用