「さいごの一通 ～贈り文～」のしくみOKURIBUMI
言葉を預けてから、受け取る人の手もとで開封されるまで。鍵がどこで生まれて、どこにあるのかがこのサービスの芯です。図でご覧ください。
CAST
登場するのは、ふたりと一か所
FLOW 01
── 生きているあいだ
-
1
言葉を預ける
遺す人がアプリで手紙を書きます。手紙は書いたその端末の中で封（暗号化）をしてから金庫へ。金庫にあるのは封筒だけで、中身は誰にも読めません。
-
2
受け取る人を招く
メールで招待状を送るか、会ってQRコードを見せるか。受け取るかどうかは、お相手がご自身のアプリの中で選びます。
-
3
承諾したとき、鍵が生まれる
お相手が「受け取ります」と承諾されたその瞬間、お相手の端末の中で開封用の鍵が生まれます。この鍵は端末の外に一度も出ません。ここが、このサービスの要です。
-
4
見守りがはじまる
遺す人は、決めた周期でボタンを一回長押し、「生きています」と応えるだけです。受け取る人には年に一度だけ、受け取れる状態かの確認が届きます。
FLOW 02
── もしものとき
-
5
お知らせが届く
応答が途切れると、リマインド・猶予期間・最終確認と何段階も確かめたうえで、受け取る人にメールとアプリ通知が届きます。お知らせ自体に、お手紙の内容は含まれておりません。
-
6
承諾した端末で開封
お知らせの開示コードで封筒を受け取り、ステップ3で生まれた鍵で開封します。この鍵を持つ端末だけが開けるので、宛先に選ばれた方のほかは、誰にも読めません。コードだけを手に入れても、開くことはできません。
KEYS
鍵は、どこにあるのか
手紙に封をする✓ 書ける・封じられる
封をした封筒だけを保管宛先の方の鍵がなければ開けません
開封の鍵が眠る唯一の場所✓ ここでだけ開く
開封には「ふたつ」が必要です — もしものときにメールで届く開示コード（封筒の受け取り券）と、承諾した端末の中の鍵。この両方がそろってはじめて開封できます。メールを万一のぞき見されても、そこにあるのは受け取り券だけ。開封の鍵は受け取る人の端末にしかないため、中身は守られます。
端末をなくしても、手紙は失われません — 失われるのは鍵だけで、手紙そのものは封をしたまま金庫に残っています。鍵は、遺す人がご存命の間なら招待のし直しで、万一の後でも「再登録の申請」で作り直せます（よくあるご質問をご覧ください）。
TECHNICAL
技術のはなし — 詳しい方へ
ここまでのご説明を、暗号技術の言葉でそのまま申し上げます。新しい暗号を発明せず、広く検証された方式だけを組み合わせています。
どんな暗号方式を使っていますか？
手紙の本文は、端末の上で XChaCha20-Poly1305（認証付き暗号。読めなくするだけでなく、1ビットの改ざんも検知します）で封をします。手紙ごとの鍵は金庫の鍵から HKDF-SHA256 で導き、持ち主と書式の情報に結び付けて（AAD）いるため、暗号文を別の場所へ差し替える流用も検知されます。鍵の受け渡しは X25519 の sealed box（受け取る人の公開鍵宛ての封緘）で、libsodium 互換の実装を用いています。
鍵はどこで生まれ、どこに保存されますか？
金庫の鍵は遺す人の端末で生成され、iOS の Keychain／Android の Keystore に保管されます。受け取る人の鍵ペア（X25519）は承諾したその端末で生成され、サーバーへ渡るのは公開鍵だけです。機種変更に備える復旧コードは 128 ビット（Crockford Base32＋チェックサム）で、コードそのものは保存せず、そこから導出した鍵で金庫の鍵を包み直して預けます。正しく復元できたかは、コミットメント（ハッシュ）の照合で確かめます。
「あずかり金庫」は、本当に読めないのですか？
保管中の手紙は、端末の外では常に暗号文のままです。開封が成立する瞬間だけは、応答なしの確認手続きをすべて通過したことを条件に、サーバー側の「リリース鍵」が金庫の鍵を受け取る人の公開鍵宛てに包み直す仲介をします。つまり現在の設計の信頼境界はこのリリース鍵にあり、この点は誇張せずプライバシーポリシーにも明記しています。リリース鍵は世代管理され（新しい世代への切り替えのみ許可・漏えいが疑われる世代は即時に開封停止＝fail-closed）、将来はハードウェア隔離環境（TEE 等）への移行を予定しています。「読める瞬間を設計と制度でゼロに近づけ、現在地を正直に開示する」方針です。
サーバー側は、どう守られていますか？
データベースは全テーブルで行レベルセキュリティ（FORCE RLS）を強制し、重要な書き込みは専用の関数（RPC）だけに限定しています。開示コードなどのトークンは平文を保存せず SHA-256 ハッシュのみ・使用回数と有効期限つきで、照合は定数時間比較です。秘密情報が未設定のときは「開かずに失敗する」fail-closed を原則としています。設計段階から攻撃者視点のセキュリティレビューを繰り返し、300 を超える自動テストと、100 万ユーザー規模での負荷・整合性検査（手紙とお届け先の取り違えゼロを全件突合）を通しています。
NOTICE
開封は、そっと知らされます
受け取る人のどなたかが開封すると、その事実がほかの受け取る人全員と、遺した方のメールにもすぐに知らされます。たとえば受け取る人がBさんとCさんのお二人なら、Bさんが開封したとき、Cさんにも「開封が記録されました」というお知らせが届きます。
自分の端末で開封✓ 開けるのは本人の鍵だけ
「開封が記録されました」と届く✕ 開封した方がどなたかは分からない
記録として同じお知らせが届く✓ 誤作動なら気づける
この仕組みは、受け取る人同士が互いの見張り役になるための設計です。お知らせには
「誰が開封したか」は記載しておりません。また、開封は早い者勝ちではありません。どなたかが先に開封したあとも、ほかの受け取る人はそれぞれご自身の手紙を引き続き開封できます。内容を開けるのは、承諾した受け取る人ご本人の端末に限られます。万一、身に覚えのない開封のお知らせをお受け取りになったときは、アプリからご確認・一時停止の申請ができます。遺した方のメールにも届くのは、ご存命中にお知らせが誤って動いた場合、ご本人がいちばん早く気づいて取り消せるようにするためです。
USES
遺せるのは、手紙だけではありません
金庫に預けられるのは自由な文章です。想いの言葉のほかに、遺された方が困らないための「実務の情報」こそ、このサービスの出番です。
銀行口座や保険は、存在と場所さえ伝われば、遺されたご家族が相続の正規の手続きでお受け取りいただけます。暗証番号やパスワードを書き残す必要はありません。
プレミアムプランなら、写真も遺せます。通帳や保険証券の控え、家の中の大事な物のありか、伝えておきたい一枚。写真も手紙とまったく同じで、あなたの端末で封（暗号化）をしてから金庫へ。中身は誰にも読めず、もしものときに受け取る人の端末だけで開けます。文字が読めるよう、原寸に近い画質のまま安全にあずかります。
POLICY
パスワードについての方針
GoogleやAppleなど、他社アカウントのパスワードを書き残すことはおすすめしていません
- 多くのサービスの規約は、ご家族であってもパスワードの共有を認めていません
- 遺された方がそのままログインする行為は、法律（不正アクセス禁止法）に触れるおそれがあります
- 二段階認証が主流のいま、パスワードだけでは開けないことがほとんどです
代わりにおすすめする方法 — 大手サービスには、公式の「もしものときの手続き」があります。
- Google：「アカウント無効化管理ツール」— 一定期間の未利用で、指定した相手にデータを引き継ぐ公式のしくみ
- Apple：「故人アカウント管理連絡先（デジタル遺産）」— あらかじめ指定した相手が、正規の手続きでアクセスできるしくみ
これらを生前に設定したうえで、手紙には「設定してあること」と「手続きの場所」を書き残すのが、確実で安全な方法です。
※ お預かりする内容は暗号化されているため、運用上、記載内容の確認・モデレーションは行っておりません。そのため記載内容を技術的に制限することもありませんが、上記は本サービスの方針としてお願いしているものです（暗号の技術的な信頼境界については、本ページ「技術のはなし」の節をご覧ください）。
※ ご自宅のNASや金庫の暗証番号など、公式の手続きが存在しないご自身の持ち物については、この限りではありません。
LEGAL
遺言書とのちがい
お預かりする手紙は、法律上の「遺言書」ではありません
- 財産の分け方を法的に定める効力はありません。位置づけはエンディングノートに近いものです
- 亡くなられた後の銀行口座は凍結され、ご家族が暗証番号をご存じでも、払い戻しには相続の正規の手続きが必要です
財産の分け方を法的に残したい場合は、正式な遺言書をご用意ください。
- 公正証書遺言 — 公証役場で作成する方式。家庭裁判所の検認が不要で、もっとも確実です
- 自筆証書遺言 — ご自身の手書きで作成する方式。開封には原則、家庭裁判所の「検認」が必要です（法務局の保管制度を利用すると検認は不要になります）
だからこそ、この手紙の役割は遺言書やエンディングノートの「存在と場所」、そして想いの言葉を、確実に届けることです。正式な遺言書と併用いただくのが、いちばん確実な備えになります。
※ 相続のお手続きの詳細は、公証役場・法務局、または弁護士・司法書士など専門家にご確認ください。
Q&A
よくあるご質問 — 機種変更・端末の紛失
受け取る人が機種変更をしたら、鍵はどうなりますか？
鍵は端末の外に出ないため、古い端末とともに失われます。遺す人が、ご存命の間であれば、もう一度メールまたはQRにて招待し、承諾し直すだけで、新しい端末に新しい鍵が生まれます。年に一度の確認は、これを忘れないための仕組みでもあります。
遺した方がすでに亡くなっていて、招待し直せないときは？
そのときのために「再登録の申請」を用意しております。受け取る人が新しい端末から申請すると、待機期間（数日〜2週間）を置いたのち、新しい鍵が有効になります。待機のあいだは、他の受け取る人などへ「再登録の申請がありました」とお知らせが届きます。心当たりのない申請は誰でも一時停止でき、なりすましを防ぎながら、正しい受け取る人には新しい鍵で開封できる道を残します。
申請すれば誰でも受け取れてしまうのでは？
いいえ。申請には受け取る人ご本人のメールが受け取れることが前提で、さらに待機期間・周囲へのお知らせ・一時停止・回数の制限を重ねています。急いで開けようとする不正な申請ほど、この時間的制約にて防御する設計です。
PLAN
プランと解約のこと
無料プラン — 自分のための金庫と見守り。手紙を書き、暗号のまま預け、チェックインで見守りを試せます。ただしどなたにも送られません。応答が途切れ切った場合も、お知らせが届くのはご自身だけです（予行演習）。
スタンダードプラン — 受け取る人への招待から、もしものときのお届けまでのすべて。年額1,500円+税（自動更新）または、5年一括買い切り型6,000円+税（自動更新なし）を予定しています。
プレミアムプラン — スタンダードのすべてに加えて、写真も遺せます（通帳や保険証券、大切な人の写真など）。写真も手紙と同じく、書いたその端末で封（暗号化）をしてからあずかり金庫へ。中身は誰にも読めず、もしものときに受け取る人の端末だけで開けます（1項目につき5枚まで・おひとり合計20枚まで）。ほかに、緊急連絡先を人数の上限なく登録でき、単独の連絡先を入れ替えるときの待機を7日から72時間へ、お問い合わせの優先対応を含みます。年額3,000円+税（自動更新）または、5年一括買い切り型9,000円+税（自動更新なし）を予定しています。
解約したら、預けた手紙はどうなりますか？
消えません。手紙・受け取る人の承諾・設定はそのまま残り、お届けの機能だけがお休みになります（無料プランに戻ります）。同じアカウントでいつでも再開でき、承諾のやり直しも不要です。なお、アカウントそのものを削除した場合は別で、預けたものはすべて消去されます。
亡くなったあと、カードが止まって支払えなくなったら？
ご安心ください。見守りが「応答なし」の確認段階に入った時点で、お届けの資格を確定（ロック）します。以後、お支払いが止まってもその回のお届けは最後まで行われます。「亡くなればカードは止まる」ことを前提に設計しています。
解約はどこから？
App Store / Google Play のサブスクリプション管理から、いつでも解約できます。解約後も、お支払い済みの期間が終わるまでは全機能をご利用いただけます。
しくみのすべては、
この一通のために。
暗号も、見守りも、一通の手紙を確かに手渡すための道具です。書きたくなったら、いつでも。
このページの合言葉 — 「鍵は、承諾したその端末で生まれ、そこから出ない。」