解説
Webアプリのセキュリティをわかりやすく解説
AppSafeがチェックする問題を、専門用語なしで解説します。それが何か、なぜ重要か、そしてどう直すかまで。
セキュリティヘッダー
高
Content-Security-Policy（CSP）とは何か、どう追加するか
注入されたスクリプトの実行を止めるヘッダー。
高
HTTP Strict Transport Security（HSTS）を解説
最初の接続を含め、すべての接続にHTTPSを強制する。
中
Clickjackingと X-Frame-Options：ページをiframeの外に保つ
1つのヘッダーで、攻撃者があなたのアプリをiframe内に重ねるのを防げます。
中
MIMEスニッフィングとX-Content-Type-Options：nosniffの解説
ブラウザがコンテンツタイプを推測し、アップロードされたファイルをスクリプトとして実行するのを防ぐヘッダー。
設定ミス
重大
露出した .env ファイル：攻撃者はどうやってシークレットを見つけるか
到達可能な .env が1つあるだけで、スタック全体を明け渡すことになりかねません。
高
CORSの設定ミス：ワイルドカードと反射の落とし穴
すべてのオリジンを許可すると、どのサイトもあなたのAPIを読めてしまいます。
高
本番のsource mapはソースコードを漏らす
配信された .map ファイルは、元のソースを明け渡します。
重大
公開された.gitディレクトリ：目の前に潜むソースコード流出
アクセス可能な/.gitは、コードベース全体とコミット履歴をそのまま渡してしまいます。
重大
公開されたデータベースバックアップ：/backup.sqlにアクセスできるとどうなるか
アクセス可能な.sqlダンプは、データベース全体をそのまま引き渡すのと同じです。