認可はどのように行われるか
BskyDelete は公式の AT Protocol OAuth フローを使用します。あなたはご自身の Bluesky プロバイダーへ移動し、そこで承認し、プロバイダーが認可コードを BskyDelete に返します。この間、BskyDelete に Bluesky のパスワードを入力することはなく、App Password を求めることもありません。
クライアントの身元は公開され、検証できます
OAuth クライアントは、このドメイン上の固定 URL で公開されたメタデータ文書によって識別されます。この文書には、アプリケーション名、認可コードを返せる唯一のリダイレクト先、要求するスコープ、対応する付与タイプが宣言されています。承認する前に誰でもこの文書を取得して確認できます。
アクセストークンは要求したブラウザーに結び付きます
クライアントメタデータでは DPoP による束縛付きアクセストークンを有効にしています。つまりトークンはブラウザーが保持する鍵と暗号的に結び付いており、トークンだけを他所へ複製しても単独では使えません。これは AT Protocol の OAuth 実装が持つ性質であり、BskyDelete が独自に追加したものではありません。
スコープは標準の移行期スコープです
BskyDelete は AT Protocol が定める移行期の汎用スコープを要求します。このスコープにより、アプリケーションはあなたのレコードを読み取り、あなた自身のリポジトリへ削除を書き込めます。他人のアカウントへのアクセス権は与えられず、パスワード・メールアドレス・アカウント状態を変更する権限もありません。
同時に接続できるアカウントは 1 つです
BskyDelete は接続済みの Bluesky セッションを 1 つだけ使用します。別のアカウントを扱うには、先に現在のセッションを切断してから次を認可します。共有のアカウントプールは存在せず、現在接続していないアカウントへバックグラウンドでアクセスすることもありません。
セッションの保存場所と有効期間
OAuth セッションは公式のブラウザー用 OAuth クライアントライブラリーが生成・管理します。当社がそのために書いたコードではありません。セッションは認可を行った端末上に保存されます。
セッションはブラウザー自身のストレージに残ります
OAuth ライブラリーはセッションをブラウザーの IndexedDB に保存します。BskyDelete のサーバーへ複製されることはなく、端末間で同期されることもありません。ノートパソコンで認可しても、スマートフォンがログイン状態になるわけではありません。
BskyDelete 自身が保存するのは数個のフラグだけです
ライブラリーのセッションとは別に、アプリケーションはローカルストレージにいくつかの単純な目印を保持します。接続の有無、意図的にサインアウトしたか、認可の往復処理中かを各ページが判断するためです。これらにトークンやアカウントの内容は含まれません。
有効期間を決めるのはプロバイダーであり当社ではありません
セッションがどれだけ有効か、いつ更新が必要かは、AT Protocol の OAuth 実装とあなたのアカウントプロバイダーが決定します。BskyDelete は固定のセッション時間を約束しません。ブラウザーのストレージを消去すれば、ローカルのセッションは直ちに終了します。
当社サーバーが受け取るもの
すべての読み取りと削除は、あなたのブラウザーとあなたの Bluesky プロバイダーとの間で直接行われます。投稿・いいね・リポスト・フォローを削除するとき、AT Protocol のリポジトリ用エンドポイントを呼び出すのはあなたのブラウザー自身であり、レコードはあなた自身のリポジトリに対して書き込まれます。
あなたの投稿・いいね・リポスト・フォロー一覧・アクセストークンを受け取り、中継し、検査し、保存する BskyDelete のサーバー側構成要素は存在しません。CSV エクスポートもブラウザー内で組み立てられ、そこから直接ダウンロードされます。ファイルが当社サーバーを経由することはありません。これはアプリケーションの作りそのものによる性質であり、信用を前提にした方針ではありません。
当社の基盤が実際に扱うのは、通常のウェブサイト運用と、それとは別個の BskyDelete アカウントおよびサブスクリプション記録です。これらはプライバシーポリシーで説明しています。
認可を取り消す方法
BskyDelete のアクセス権はいつでも取り消せます。そのために当社の協力は必要ありません。
- 1
BskyDelete 内で接続を解除する
アプリ内で Bluesky からサインアウトする操作は、ローカルの目印を消すだけではありません。接続中のアカウントについて OAuth クライアントの取り消し処理を呼び出し、プロバイダーへセッションの無効化を要求したうえで、ローカルの目印を消去します。
- 2
Bluesky のアカウント側から取り消す
Bluesky のアカウント設定から直接認可を取り消すこともできます。そちらが本来の権威ある窓口です。認可した当時のブラウザーが使えなくなっていても有効で、BskyDelete に接続できるかどうかにも左右されません。
Bluesky はこれらの操作項目の位置を随時変更するため、ここでは具体的なメニュー名を再掲しません。現行のドキュメントとサポート窓口はBluesky 公式サポートページにあります。
削除が届く範囲と届かない範囲
レコードの削除とは、それをあなた自身のリポジトリから取り除くことです。これは実質的で意味のある操作ですが、内容をインターネット上から消し去ることとは異なります。この点をあいまいにしてよいツールはありません。
あなた自身のレコードは削除されます
選択した投稿・いいね・リポスト・フォローはリポジトリから削除され、そこから配信されなくなります。BskyDelete の内部では、削除を元に戻すことはできません。
他人のレコードは削除できません
誰かがあなたの内容を引用・返信・リポストしていた場合、そのレコードは相手のリポジトリに属します。あなたの投稿を消しても相手の投稿は消えず、BskyDelete は接続していないアカウントに対して何も実行できません。
連合先の複製やキャッシュは当社の管理外です
既に他のサービス・インデックス・フィード生成器・キャッシュへ配信された内容は、一定期間残り続ける可能性があります。その期間を決めるのは BskyDelete でもあなたでもなく、それらのシステムです。
スクリーンショットや保存物は回収できません
削除前に第三者がスクリーンショットを撮ったり複製・保存したりしたものは、その保持者の手元に残ります。どの削除ツールもそこには届きません。
削除は取り消せないため、大切なデータは削除前にエクスポートしてください。データエクスポートのページでは、各エクスポートに含まれる列と、エクスポートが復元ポイントではない理由を具体的に説明しています。
セキュリティ問題の報告
BskyDelete にセキュリティ上の問題を見つけたと思われる場合は、公表前にメールでご報告ください。再現に足る詳細を添えていただけると助かります。受領した旨は必ずお知らせします。
報告やその他の連絡に、パスワード・OAuth トークン・リカバリーコード・カード情報を含めないでください。当社がそれらを必要とすることはありません。誤って送信された場合は、直ちに変更していただくようお願いします。
よくある質問
BskyDelete に Bluesky のパスワードは必要ですか？
必要ありません。認可はプロバイダー自身のページ上で AT Protocol OAuth により行われます。BskyDelete がパスワードを受け取ることはなく、App Password も使いません。
投稿をサーバーに保存していますか？
いいえ。読み取り・削除・CSV エクスポートはすべて、あなたのブラウザーからあなたのプロバイダーに対して実行されます。アカウントの内容を受け取る当社のサーバー側構成要素は存在しません。
内容があらゆる場所から消えると保証できますか？
できません。他の誰にもできません。当社ができるのは、あなたのリポジトリからレコードを削除することです。第三者が保持する複製・キャッシュ・スクリーンショットは、どの削除ツールの能力も超えています。
第三者によるセキュリティ監査を受けていますか？
受けていません。外部のセキュリティ認証や監査を主張することはありません。このページが説明しているのはアプリケーションの実際の作りであり、OAuth の挙動は公開されたクライアントメタデータと照合して確認できます。
関連記事
同じ主題をより詳しく読むにはセキュリティ概要をご覧ください。アカウント全体のプライバシー判断についてはBluesky プライバシーガイドを、削除が想定どおりに動かなかった場合は削除のトラブルシューティングガイドで観察可能な原因を説明しています。