ホームページいじれるくん®︎では、Webシステムで一般的に求められるセキュリティ対策を踏まえ、
認証、アクセス制限、アップロード制限、CSRF・XSS対策、入力値検証など、
複数の対策を組み合わせて実装しています。
また、ログインしていない第三者からのアクセス、システム関連ファイルへの直接アクセス、
意図しないファイル操作など、外部からの不正利用を想定した対策も行っています。
セキュリティは一つの対策だけで確保できるものではないため、
複数の防御を組み合わせることで、不正アクセスや意図しない操作のリスク低減に取り組んでいます。
なお、インターネット上のシステムにおいて完全な安全性を保証することはできません。
本ページでは、ホームページいじれるくん®︎に現在実装している主なセキュリティ対策をご案内します。
管理画面や主要な操作機能は、認証された利用者のみが利用できるよう制限しています。
未認証の状態でシステム関連ファイルのURLへ直接アクセスされた場合でも、
認証を必要とする処理については操作や情報取得が行われないよう制御しています。
また、環境に応じてBasic認証等を併用することで、管理画面へのアクセスをさらに制限することができます。
本番化やファイル反映などの処理では、現在編集しているサイトの情報と、
処理対象となるデータやドメイン情報を確認したうえで処理する仕組みを採用しています。
ダウンロードしたデータを再度アップロードして利用する機能についても、
想定していないサイトやデータがそのまま処理されないよう、対象情報の照合や入力値の検証を行っています。
これにより、別サイト向けのデータを誤って反映することや、
第三者による意図しないファイル操作のリスク低減を図っています。
必要に応じて、許可したIPアドレスからのみ利用できるアクセス制限を設定できます。
利用環境に合わせてIP制限を使用することで、認証情報が第三者に知られた場合でも、
許可されていないネットワークからのアクセスを制限する追加対策として利用できます。
IP制限を使用しない運用も可能なため、利便性とセキュリティのバランスに応じて設定できます。
PHPやCSSなど、通常のページ編集よりも影響範囲の大きい機能については、
利用環境や運用方針に応じて機能を制限または無効化できる構成を採用しています。
必要のない機能を使用可能な状態にしないことで、誤操作や不正利用によるリスクを小さくできます。
CSRF（Cross-Site Request Forgery）は、ログイン中の利用者に対して、
本人が意図していない操作を外部サイト等から実行させようとする攻撃手法です。
ホームページいじれるくん®︎では、重要な操作についてサーバー側でトークンを発行し、
リクエスト時に正しいトークンが含まれているかを確認する仕組みを利用しています。
これにより、外部から送信された不正なリクエストを受け付けてしまうリスクを低減しています。
XSS（Cross-Site Scripting）は、Webページに不正なスクリプト等を混入させ、
閲覧者のブラウザ上で実行させようとする攻撃手法です。
画面へ表示する入力値や可変データについては、必要に応じてエスケープ処理を行い、
HTMLやJavaScriptとして意図せず解釈されることを防ぐ対策を実施しています。
テストアップしたページやバックアップデータなど、一般公開を想定していない情報については、
パスワード認証やアクセス制御を用いて第三者からの閲覧を制限します。
また、システム関連ファイルについても、URLを知っているだけで操作できる状態とならないよう、
認証状態や必要な条件を確認して処理する設計としています。
編集作業中にアップロードされた画像等については、編集用の一時データとして管理し、
画像URLを推測または取得した第三者が自由に閲覧できないよう、
認証状態および現在編集しているサイトとの対応関係を確認して配信する仕組みを採用しています。
なお、これは編集作業中の一時データに対する保護であり、
テストアップまたは本番反映されたウェブページや画像等の公開状態を示すものではありません。
テストアップしたページについては、別途設けられた閲覧制限によってアクセスを制御します。
ファイル名、パス、URL、ドメイン情報その他の入力値について、
想定外の値がそのままファイル操作やシステム処理に使用されないよう検証を行っています。
特に、ファイルのアップロード、展開、差し替え、本番反映など、
サーバー上のデータを変更する処理については、対象や操作条件を確認してから実行することを基本としています。
ホームページいじれるくん®︎は、認証、アクセス制御、CSRF対策、XSS対策、
入力値検証、アップロード制御など複数の対策を組み合わせることで、
不正アクセス、誤操作、意図しないファイル操作等のリスク低減を図っています。
一方で、OS、PHP、Webサーバー、ブラウザ、利用者の端末、設置先サーバー、
外部サービスなど、本システム以外の環境もセキュリティに影響します。
そのため、各環境のアップデート、適切なパスワード管理、アクセス制限、
バックアップ等と組み合わせて運用することを推奨します。
※本ページは、ホームページいじれるくん®︎における主なセキュリティ対策の概要を説明するものです。 特定の攻撃を完全に防止すること、または将来にわたる完全な安全性を保証するものではありません。