2. 文書の暗号化と鍵
- PDFを選ぶと、お使いのブラウザの中で封筒ごとの鍵を作り、PDFをその鍵で暗号化（AES-256-GCM）してから当社に送ります。当社が受け取って保管するのは、暗号化されたデータだけです。署名の画像や入力された内容も、署名する方のブラウザで同じように暗号化します。
- 文書を開く鍵は、署名用リンクの「#」から後ろの部分に入っています。この部分は、ブラウザが当社のサーバーに送らない部分です。リンクは署名者ごとに別々に作ります。
- リンクが途中で切れて開けないときのために、同じ鍵を表す「予備コード」を依頼のメールに記載します。
- 送信者の鍵は、送信に使ったブラウザの中（IndexedDB）に保存します。別のパソコンで開くときのために、鍵の控えを「送信控え」のメールで受け取ることもできます。
- 当社のサーバーは、鍵そのものを保存しません。保存するのは、リンクがないと開けない形に包んだ鍵と、封をするときに AWS KMS でしか開けない形に暗号化した鍵（封をし終えると消去します）だけです。
当社のデータベースや保存領域が丸ごと流出しても、契約書の中身は読めません。当社の社員が保存中の契約書を開く手段もありません。
3. 当社の仕組みが中身を扱う場面
- 封をする数秒間：全員の署名が終わると、完成PDFに電子署名で封をします。この処理はAWS 東京リージョンの処理（AWS Lambda）のメモリ内で行い、その間だけ中身を扱います。終わると鍵は消え、読める形の控えは当社に残りません。
- 完了メール：完成PDFを添付した完了メールは、当社が使うメール配信サービス（Amazon SES）と、受け取る方それぞれのメールサービスを通ります。添付ファイルは、通常のメールの添付ファイルと同じ扱いになります。
- Kokuin から送る依頼メール：Kokuin から署名依頼のメールを送るときは、メールを作る間だけ、当社のサーバーと、その手前で通信を中継する Amazon CloudFront がリンク（鍵）を扱います。保存はしません。「自分で送る」を選ぶと、ご自身で送るリンクの鍵は当社のサーバーを通りません。ただし、順番に署名する場合、2人目からの依頼は Kokuin がメールで送ります。
- 封をするための鍵：最後に署名した方（または送信者）のブラウザが、文書の鍵を AWS KMS でしか開けない形に暗号化して当社に預けます。この鍵は24時間で期限が切れ、封をするときだけ使って、終わると消去します。
4. 当社は文書を復元・提出できません
- 当社は契約書を読める形で持っていないため、お客様にも、裁判所や警察にも、契約書を提出できません。提出できるのは、監査ログやハッシュ値などの記録だけです。
- リンク・予備コード・送信控えのメールをすべてなくした場合、当社でも文書を開けず、鍵の再発行もできません。
- 削除した文書は、当社でも復元できません。完了メールの添付ファイルを、必ずご自身で保存してください。
5. 電子署名の方式：立会人型（事業者署名型）
Kokuin の電子署名は「立会人型」または「事業者署名型」と呼ばれる方式です。署名する方の指示に基づいて、サービス事業者である Kokuin が、自身の署名鍵で文書に電子署名を付けます。署名する方が電子証明書を用意する必要はありません。
- 全員の署名が終わると、完成PDFに PAdES 形式の電子署名を付けます。署名の後にPDFの内容が変わると、PDFリーダーの署名パネルや Kokuin の検証ページで分かります。
- 署名の処理はシステムが自動で行います。Kokuin の担当者の判断や操作は入りません。
- 封をする前に、送信者のブラウザが鍵で認証した送信内容（署名者、CC、署名欄の位置）と、各署名者が確認した原本のハッシュ値を照合します。一致しない場合は封をせず、どなたにも完成PDFを送りません。
- 完成PDFに電子署名を付ける鍵（封印鍵）は、Amazon Web Services の鍵管理サービス（AWS KMS）の中で作り、外へ取り出せない設定で保管しています。封をするたびに、署名した内容のハッシュ値を監査ログに記録します。
- 完成PDFには完了証明書を付けます。文書名、原本と、署名欄を反映した版（封をする前）のハッシュ値（SHA-256）、署名者ごとの氏名・メールアドレス・本人確認の方法・署名日時・IP アドレス・ブラウザの情報、監査ログの抜粋が載っています。完成PDFそのもののハッシュ値は、完了メールと索引CSVに載ります（完成PDFは完了証明書を含むため、証明書の中には載せられません）。
電子署名法との関係
総務省・法務省・経済産業省は2020年に、「利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号化等を行う電子契約サービスに関するQ&A」を公表しています（電子署名法第2条関係、同第3条関係の2つ）。Kokuin は、このQ&Aの考え方に沿って、電子署名法第2条の電子署名に該当し得るよう設計しています。
ただし、個別の契約で電子署名法第3条の推定が働くか、裁判でどの程度の証拠力が認められるかは、Q&Aで示された要件や個別の事情を踏まえて、最終的には裁判所が判断します。Kokuin がこれを保証するものではありません。
6. 本人確認
- 専用リンク：署名者ごとに別々のリンクを送ります。リンクには推測できない長い文字列と、文書を開く鍵が含まれ、期限があります。
- 6桁のワンタイムコード：リンクを開いた後、同じメールアドレスに確認コードを送ります。コードの有効期限は短く、一定の回数を間違えると入力できなくなります。
- アクセスコード（任意）：送信者が封筒ごとに設定し、電話やチャットなどメール以外の方法で相手に伝えます。メールを受け取れるだけでは署名できなくなるため、重要な契約での利用をおすすめします。
- 完了した後：確認コードとアクセスコードは求めません。署名用のリンク（または予備コード）だけで、文書を削除するまで完成PDFと完了証明書を開けます。
確認コードとアクセスコードは、ハッシュ化して保存しています。平文では保存しません。
7. 監査ログ
封筒の作成、送信、開封、確認コードの送信と成否、署名、辞退、完了、メールの送信、PDFの削除などの操作を、日時・IP アドレス・ブラウザの情報・文書のハッシュ値とともに記録します。
- 追記のみ：データベースの設定で、記録の書き換えと削除ができないようにしています。
- ハッシュチェーン：それぞれの記録に、1つ前の記録のハッシュ値を含めています。途中の記録が書き換えられると、それ以降のつながりが合わなくなり、検査で分かります。
- 1日ごとのまとめ：1日に1回、その日のすべての記録から1つのハッシュ値（マークルルート）を計算して保存します。
- 保存期間：監査ログは、文書を削除した後も既定で10年間保存します。
8. 保存と削除
- 通信は HTTPS で暗号化しています。
- 全員の署名が終わると、完成PDF・完了証明書・電帳法向けの索引CSVを、送信者・署名者・CC の全員にメールで送ります。
- 暗号化して預かっている文書は、完了後 Free は7日、Standard は30日で自動的に削除します。期限切れ・辞退・取り消しで終わった封筒は、終了から30日後に削除します。送信者は、お届けが済みしだい削除する設定（完了後すぐ削除）を選ぶことも、それより前にいつでも削除することもできます。
- 10年間、読める形で残すもの：氏名、メールアドレス、IPアドレス、ブラウザの情報、操作の日時、文書のハッシュ値、件名、取引年月日・金額・取引先。誰がいつ署名したかを後から証明するために保存します。送信者のアカウントと請求の情報は、アカウントがある間保存します。
Kokuin は契約書の保管サービスではありません。完了メールの添付ファイルは、各自で保存してください。
9. 改ざんの確認
文書の検証ページに手元のPDFを置くと、お使いのブラウザの中でハッシュ値（SHA-256）を計算し、その値だけを Kokuin の記録と照合します。PDFファイルそのものはサーバーに送りません。暗号化した文書を削除した後でも、記録が残っている間は確認できます。
10. Adobe Acrobat での表示
- Kokuin の電子署名は、当社が自ら運用するルート証明書から発行した証明書で付けています。このルート証明書は、Adobe の信頼リスト（AATL）に含まれていません。そのため Acrobat で完成PDFを開くと、そのままでは「署名の有効性は不明です」と表示されます。
- この表示をなくしたい場合は、署名用証明書のページからルート証明書を取得し、Acrobat で信頼済みにしてください。必須の作業ではありません。改ざんの有無は、検証ページでも確認できます。
- 認定タイムスタンプを付けていないため、Acrobat では署名日時がコンピューターの時計によるものとして表示されます。
- 長期署名に対応していないため、署名用証明書の有効期限が過ぎると、Acrobat での検証結果の表示が変わる場合があります。
11. 電子帳簿保存法と印紙税
電子帳簿保存法
電子契約のデータを保存する義務は、送信者・署名者それぞれの事業者にあります。Kokuin は文書を保管しないため、電子帳簿保存法上の保存システムにはなりません。完了メールの添付ファイルを、ご自身の保存場所に保存してください。メールを受け取ったままにしておくだけでは、要件を満たさないおそれがあります。
- 真実性：Kokuin は認定タイムスタンプを付けません。「訂正削除の防止に関する事務処理規程」を定めて備え付けるなどの方法で対応してください。国税庁がサンプルを公開しています。
- 検索：完了メールのファイル名に取引年月日・金額・取引先が入り、索引CSVが付きます。国税庁が示す簡易な方法（規則性のあるファイル名、索引簿）で整理するときにお使いください。
印紙税
国税庁の質疑応答事例では、取引先にメールで送った電磁的記録には印紙税が課税されないとする回答が示されています。ただし、完成PDFを印刷して原本として交付するなど、扱い方によっては判断が変わるおそれがあります。個別の取引は税理士にご確認ください。
12. 運用体制
- Kokuin は現在、株式会社BeyondBrain の担当者1名で開発と運用をしています。
- 本番環境への反映と、鍵やクラウドの権限の管理は、その担当者が行います。反映は自動テストを通したものだけを、記録を残して行います。2人で確認し合う仕組み（二人承認）は、まだありません。
- 封印鍵は AWS KMS の外へ取り出せないため、担当者を含め、誰も鍵そのものを持ち出せません。
13. PHP の脆弱性について
Kokuin は PHP を使用していないため、CVE-2026-109618／109619 の影響を受けません（PHP 公式発表 2026年10月21日）。これは PHP 固有の問題についての説明で、あらゆる不具合と無縁という意味ではありません。
14. この仕組みの適用時期
このページで説明している暗号化の仕組みは、2026年10月24日に公開した版から適用しています。それより前に送られた封筒の文書は、旧方式（当社のサーバーの鍵による暗号化）で保管していたもので、新しい仕組みでは開けません。保存期間が過ぎしだい削除し、遅くとも2027年1月22日までにすべて削除します。
15. Kokuin にできないこと
- 認定タイムスタンプ（総務大臣が認定した時刻認証業務によるもの）は、現在付けていません。
- 長期署名（PAdES の LTV／LTA）には対応していません。
- 当事者型の電子署名（署名者本人の電子証明書による署名）や、マイナンバーカードによる署名はできません。
- 契約書の長期保管や契約管理はしません。暗号化して預かった文書も、決まった日数で削除します。
- 文書を復元することはできません。リンク・予備コード・送信控えのメールをすべてなくすと、当社でも開けません。完了メールの添付ファイルを保存してください。
- Adobe Acrobat で開くと、Kokuin のルート証明書を信頼済みにするまで「署名の有効性は不明」と表示されます（証明書の配布ページ）。
- 一括送信、API 連携、SSO（シングルサインオン）、SMS による本人確認はありません。
- 画面とメールは日本語のみです。