調べたいことを検索

クリックジャッキングは、自サイトを透明な iframe で別サイトに重ね、利用者に意図しない操作（送金・設定変更・同意）をさせる攻撃。最も効果的な防御は『自サイトを他サイトの枠に埋め込ませない』＝CSP frame-ancestors と X-Frame-Options。

セキュリティヘッダは多く並べるほど良いものではない。3つに分けて考える。今も効くもの（CSP・HSTS・X-Frame-Options・nosniff・Referrer-Policy・Permissions-Policy）、もう役目を終えたもの（Expect-CTは2021年6月時点でほぼ不要）、そして入れると害になり得るもの（X-XSS-ProtectionはMDNが非推奨かつ非標準とし、安全なサイトにXSSを作り出しうると警告）。コピペ元の一覧が古いと、害のある設定まで一緒に持ち込むことになる。

Next.jsの既定は安全寄りだが、事故は『サーバーとクライアントの境界』で起きる。本ページは実務リファレンス：(1)優先度つきハードニング・チェックリスト(P0〜P2) (2)領域別の具体対策＝境界と環境変数(NEXT_PUBLIC_)・依存CVE(本体RCE含む)・Server Actions/Route Handlersの認可＋入力検証・SSRF(サーバー側fetch)・セキュリティヘッダ/CSP・認証/セッション/Cookie・レート制限 (3)自己検証チェック。攻撃手順は扱わず防御と点検に限定。

XSSは、攻撃者の用意した文字列が“スクリプトとして”別の利用者のブラウザで実行される脆弱性。セッション窃取・なりすましに直結。基本の防御は『出力時のエスケープ』。フレームワークの自動エスケープを外さないことが最大の対策。

2026年8月に公表された国内の主要事案を経路で分類すると、脆弱性型より認証情報型が多い。共通するのは『自分のサーバーは無傷なのに、外部のサービスの正規のアカウントから入られた』こと。当サイトの結論＝脆弱性管理を完璧にしても、この型は1件も止まらない。だから対策の比重を、パッチから『認証情報の寿命・範囲・置き場所』と『委託先とSaaSの棚卸し』へ移す必要がある。

PCI DSS(Payment Card Industry Data Security Standard)は、カード情報を保存・処理・伝送する事業者が満たすべき国際的なセキュリティ基準。カード国際ブランドが策定し、ネットワーク保護・保存データの暗号化・アクセス制御(必要最小限)・監視/ログ・脆弱性管理などを要求する。実務で最も安全なのは『自前でカード番号を保持せず、準拠済みの決済代行(トークン化)に任せて適用範囲を最小化する』こと。

Expressは最小構成で、既定ではほとんどセキュリティ対策をしない。対策は開発者が自分で追加する。本ページは実務リファレンス：(1)優先度つきハードニング・チェックリスト(P0〜P2) (2)領域別の具体対策＝セキュリティヘッダ(helmet)＋x-powered-by無効化・依存(npm)CVE・入力検証とインジェクション(SQL/NoSQL演算子)・認証と所有者スコープの認可・レート制限とサイズ上限・セッション/Cookie/CSRF・SSRF・本番のエラー処理(スタック非露出)・NODE_ENV (3)自己検証チェック。攻撃手順は扱わず防御と点検に限定。

CORSは『別オリジンのJSが自分のAPI応答を読めるか』をブラウザが制御する仕組み。設定ミス＝任意Originの反射や Access-Control-Allow-Origin:* と認証情報の併用で、第三者サイトからログイン済みデータを読まれる。基本の防御は許可リスト方式・Originを鵜呑みに反射しない・既定で拒否。

CSRFは、ログイン中の利用者のブラウザに“本人が意図しない操作”を勝手に送らせる攻撃。ブラウザがCookieを自動送信する性質を悪用する。基本の防御はCSRFトークン＋SameSite Cookie。状態変更にGETを使わないことも重要。

Laravelの既定は安全寄りだが、本番事故は設定・運用から起きる。本ページは実務リファレンス。(1)優先度つきハードニング・チェックリスト(P0〜P2) (2)危険な既定設定の一覧表 (3)領域別の具体対策＝秘密/APP_KEY・本番設定(APP_DEBUG/キャッシュ)・認可(Policy/Gate・Mass Assignment)・インジェクション/出力(Eloquentバインド・Blade)・セッション/CSRF/Cookie・アップロード・HTTPS/ヘッダ/レート制限・依存(Composer)CVE (4)自己検証チェック。攻撃手順は扱わず、防御と点検に限定。

Let's Encrypt＝無料・自動の TLS 証明書認証局（CA）。ACMEプロトコルでドメイン所有を自動確認し、発行・更新を自動化する。証明書は90日と短命で、自動更新が前提（鍵漏えい時の被害を短く区切る設計）。最大の事故は『更新の自動化が気づかないうちに壊れて失効→ブラウザ警告で離脱』。だから有効期限の監視が重要。当サイト自身も Caddy の自動TLSで Let's Encrypt を使っている。

最低限の対策は『全部同じ重さ』ではない。当サイトの優先順位＝①管理者アカウント・ドメイン・メール（多要素認証）②秘密とコード③アプリ本体④パッチ・検知・復元。リソースが有限な個人は、この順で上から埋めるのが正解。多くの事故は新種の攻撃ではなく、これら基本対策の抜けから起きる。

SQLiは、入力が“データ”でなく“命令の一部”として解釈され、DBへの問い合わせの意味が変わる脆弱性。読み出し・改ざん・全削除に直結。基本の防御は『文字列連結をやめ、プレースホルダ（プリペアドステートメント）で値を渡す』こと。