TAG
#サイト保守
サイト保守に関する記事の一覧です。
40件の記事
ARTICLES
記事一覧
新着順・16〜30件を表示
-
クリックジャッキングを防ぐには？埋め込み制限と正規の連携を両立する
正規の画面を別ページへ埋め込んで操作を誘導するクリックジャッキングに備えます。frame-ancestorsとX-Frame-Options、frame-srcとの違い、パートナー…
-
使っていないサブドメインを放置しない！外部サービス廃止時の安全な手順
外部サービスを削除しても、DNSの参照が残るとサブドメインの乗っ取りにつながる場合があります。成立条件の見分け方、DNSとクラウド資源の台帳、廃止の順序、Cookieや外部連携への…
-
キャッシュから個人情報を漏らさないために｜CDNと会員ページの境界を点検する
表示を速くするキャッシュが、別の利用者へ会員情報を返す原因になることがあります。private・no-store・no-cacheの違い、CDNの保存ルールとキャッシュキー、URL…
-
XMLを受け取るWeb機能のXXE対策｜外部参照と解析資源を別々に制限する
XMLの外部実体参照は、解析するだけの処理から内部ファイルやネットワークへの経路を作ることがあります。DTD、外部参照、XInclude、解析後の変換を分け、ライブラリの設定確認、…
-
コマンドインジェクションを防ぐ実装｜シェルを外した後も確認する引数と権限
外部入力をコマンドへ渡す処理では、特殊文字の除去だけに頼らない対策が必要です。OSコマンドを使わない選択、実行ファイルと引数の分離、オプションの制限、環境変数、実行権限、時間と出力…
-
パスワードを安全に保存するには？ハッシュ方式と移行・負荷の考え方
パスワード保存は、暗号化や高速なハッシュを使えば完了するわけではありません。専用のハッシュ方式、ソルトとペッパー、認証時の再ハッシュ、既存アカウントの移行、同時ログイン時の負荷、バ…
-
送信ドメインのなりすましに備えるSPF・DKIM・DMARCの導入と検証
自社ドメインを名乗るメールへの対策は、SPF・DKIMの設定だけでは完結しません。DMARCが確認する送信者の整合、送信サービスの棚卸し、レポートを使う段階導入、転送時の失敗、運用…
-
ドメインを奪われない運用へ！レジストラ・DNS・更新期限の守り方
ドメインの保護には登録事業者のログイン対策だけでなく、DNS変更権限、更新期限、復旧先の管理が必要です。移管ロックとDNSSECの役割を分け、担当者の退職やカード失効も想定した手順…
-
S3を非公開にするだけで安心？共有リンクと配信経路まで確認する
S3の公開アクセスを遮断しても、署名付きURLやCloudFrontの設定によってデータへ届く経路は残ります。Block Public Access、IAM権限、署名付きURLの期…
-
リバースプロキシの解釈差を防ぐHTTPリクエストスマグリング対策
CDNやリバースプロキシとバックエンドでHTTP要求の区切り方が食い違うと、要求の混線を招くおそれがあります。HTTPリクエストスマグリングの成立条件、HTTP/2からの変換、更新…
-
SQLインジェクションを防ぐ実装と検証｜プレースホルダーで守れない部分も確認
SQLインジェクション対策の基本となるパラメーター化クエリを、検索・並べ替え・一括処理の実装に落とし込みます。値を束縛できる場所と識別子の違い、ORMの生SQL、保存済みデータの再…
-
パスワード再設定を安全にするには？トークン・メール・本人確認の境界
パスワード再設定はログインと同じく重要な認証の入口です。トークンの期限と一度限りの利用、登録有無を漏らさない応答、メール送信の制限、既存セッションの失効を整理します。リンクの先読み…
-
ログアウト後も使えるセッションを残さないための失効設計
ログアウト画面の表示やCookie削除だけで、認証状態が失効したとは限りません。サーバー側セッションとトークン、ログイン時のID更新、複数端末、更新用トークン、キャッシュを分け、旧…
-
CSPを壊さず導入する手順！Report-Onlyからnonce運用まで
Content Security Policyを本番へ導入する際の、読み込み元の棚卸し、Report-Only、nonce・ハッシュ、キャッシュとの整合、強制への移行を解説します。…
-
DrupalのBlock AJAXに重大な脆弱性｜3.0.2の修正と表示変更を一緒に確認
Drupal拡張Block AJAXのPHPオブジェクトインジェクションについて、対象版とLayout Builderなどの条件を整理します。3.0.2では安全性の修正に伴う動作変…
スポンサーリンク