操作マニュアル
操作マニュアル ／ アプリのセキュリティチェック

アプリのセキュリティチェック

作ったアプリに、情報が外から見えてしまう設定や誰でも書き換えられる設定が残っていないかを確認できます。アプリのチャットで「セキュリティチェックして」と頼むだけで、結果と直し方（修正チャットでの頼み方）までを案内します。

この機能はプロプラン以上でご利用いただけます。チェックできるのは、ワークスペースのオーナー・管理者と、そのアプリを管理できる人（アプリを作った人など）です。

どんなことを確認するか

アプリの持ち主が、修正チャットで直せる問題だけを確認します。次の4つの分類に分けて見ています。

分類確認すること
データの権限顧客名簿などのデータを、誰が見られるか・変えられるか・消せるか。ログインしていない人でも見たり書き換えたりできる設定や、画面では「管理者だけ」にしているのにデータには制限がない状態を見つけます
ログインと利用登録誰でも利用登録できるアプリで、「ログインした人だけ」のデータが実質だれでも見られる状態になっていないか。ログインに失敗し続けたときの一時ロックが入っているか
秘密情報の露出外部サービスの秘密の鍵や、サンプルのパスワードが、アプリのコードにそのまま書かれていないか
アプリコードの脆弱性入力された文字をそのまま画面に埋め込む処理や、パスワードを端末に保存する処理など、危ない書き方がないか

氏名・メールアドレス・電話番号・生年月日などの個人情報らしい項目があるデータは、特に重く扱います。個人情報かどうかは、項目の名前から判断します（データの中身は見ません）。

チェックのしかた

  1. チェックしたいアプリを開き、チャット欄に「セキュリティチェックして」と入力して送信します。
  2. チャットにチェックのカードが表示され、「アプリのコードを確認しています…」「公開・権限設定を確認しています…」と進みます。数十秒ほどで終わります。
  3. 結果がカードに表示されます。同じ内容が、実行した人の個人ノートにも保存されます（カードの チェック結果のノートを開く から開けます）。
「セキュリティチェックして」「脆弱性を検査して」などの言い方でも始まります。途中でやめたいときは 停止 を押してください。
チェックは読むだけです。アプリやデータを書き換えることはありません。アプリの生成・修正の途中はチェックできないので、終わってから頼んでください。

結果の見方

評価（A〜E）

評価意味
A確認した範囲で指摘なし
B重大度「低」の指摘だけ
C重大度「中」の指摘あり（「高」はなし）
D重大度「高」の指摘が1種類
E重大度「高」の指摘が2種類以上

同じ種類の指摘が何か所あっても、評価では1種類として数えます。アプリが大きく、一部を確認しきれなかったときは、評価に「暫定」と付くか、「評価できません」と表示されます。

指摘の読み方

指摘ごとに、次の項目が表示されます。

項目内容
重大度高・中・低。まず「高」から直してください
判定「指摘あり」は確かな問題です。「確認が必要」は、使い方によっては問題になる設定です（問い合わせフォームのように、わざと誰でも送れるようにしている場合など）
直す場所「アプリのデータ設定」か「アプリのコード」か。根拠として、テーブルの名前やファイルの場所が表示されます
影響そのままにすると、何が起こりうるか
推奨する対応直し方と、修正チャットでの頼み方

見つかった問題を直す

  1. 指摘の「推奨する対応」に書かれている頼み方を、修正チャットにそのまま入力します。
  2. 修正が終わったら、もう一度「セキュリティチェックして」と頼み、指摘が消えたことを確認します。

よく出る指摘と、頼み方の例です。

指摘修正チャットでの頼み方の例
誰でもデータを変更・削除できる設定「このテーブルの更新と削除は管理者だけにして」
個人情報らしい列の公開設定「このテーブルはログインした人だけが見られるようにして」
画面だけで分けているロール「このテーブルは管理者だけが見られるようにして」
誰でも登録できるアプリの「ログインした人だけ」のデータ社内だけで使うなら「新規登録の画面をなくして、利用者は管理者が追加するようにして」。登録が必要なら「このテーブルは本人のデータだけ見られるようにして」
ログインの保護設定「ログインに5回失敗したら30分ロックして」「2段階認証を使えるようにして」
初期パスワードのソースへの埋め込み「ログイン画面に書かれているデモ用のパスワードを削除して」。公開済みなら、そのパスワードも変更してください
問い合わせフォームや予約フォームのように、誰でも送信できることが必要なデータもあります。その場合は「送信は誰でもできるままにして、更新と削除は担当者だけにして」のように頼むと、使い勝手を変えずに守れます。

このチェックで確認しないこと

チェックは、アプリのコードと設定を読んで調べる方法です。アプリを実際に攻撃して試すものではないため、評価が A でも、アプリ全体の安全を保証するものではありません。大切なデータを扱うアプリは、公開前に必ず、実際の操作でも確認してください。

うまくいかないとき

状況原因と対処
「セキュリティチェックして」と送っても、チェックのカードが出ずに普通の返事が来るワークスペースのプランがプロ未満か、あなたにそのアプリを管理する権限がありません。プランと、ワークスペースでの役割を確認してください
「このアプリをチェックする権限がありません」と出るチェックできるのは、ワークスペースのオーナー・管理者と、そのアプリを管理できる人だけです
「このアプリはチェック中です」と出る同じアプリのチェックが進んでいます。終わってから、もう一度頼んでください
「アプリの生成・修正が終わってから…」と出るアプリを作っている途中・直している途中です。終わってから頼んでください
「チェックの実行回数が上限に達しました」「チェックが混み合っています」と出る少し時間をおいてから、もう一度頼んでください
「チェック結果のノートを保存できませんでした」と出る時間をおいて、もう一度チェックしてください
評価に「暫定」と付く・「評価できません」と出るアプリが大きく、一部を確認しきれませんでした。チェック結果のノートの「確認範囲と未検査の項目」に、確認できなかったものが書かれています

現在できないこと

← マニュアル一覧へ戻る