アプリケーションセキュリティ & 安全な開発

なぜ「Bearerトークン」を使うとCSRFが死ぬのか？―現場が誤解しがちな認証の境界線エンジニア諸君、今日もセキュアなコードを書いているか？現場でコードレビューをしていると、未だに「API認証にはBearerトークンを使っているから、CS...

「APIにCSRF対策は不要？」その理由を、泥棒と合鍵の例えで解き明かすこんにちは！セキュリティの世界へようこそ。日々、脆弱性診断やインシデント対応の現場に立っていると、「教科書にはこう書いてあるけど、結局なぜそうなるの？」という疑問にぶつ...

なぜその「鍵」は丸見えなの？CSRFトークン漏洩の恐怖と、泥棒を追い出す防犯術こんにちは！セキュリティの世界へようこそ。今日は、Webアプリ開発において「これだけはやっちゃダメ！」という、ある致命的なミスについてお話しします。皆さんは「CS...

こんにちは。現場で泥臭いインシデント対応に明け暮れているセキュリティ担当者です。今日は「クリックジャッキング」という、ちょっと巧妙でタチの悪い攻撃手法についてお話しします。「画面が透明で見えないのに、気づかぬうちにボタンを押させられる」……...

境界線上の防衛論：Referer/Origin検証の「甘い罠」とアーキテクチャの真実セキュリティの世界で最も危険なのは、「標準仕様」を盲信することだ。特に、CSRF（Cross-Site Request Forgery）対策としてRefer...

なぜ「Refererチェック」だけで安心するのか？：CSRF対策の勘所と現実的な防衛戦略現場でコードをレビューしていると、いまだに「Refererさえ見ていればCSRFは防げる」と信じているエンジニアに出くわす。結論から言おう。Refere...

「家の中に泥棒を招き入れないために」CSRF対策とヘッダー検証のリアルこんにちは！セキュリティの世界へようこそ。日々、開発の現場でコードを書いていると、「セキュリティ対策って結局のところ何を守っているの？」と、ふと立ち止まることはありません...

クッキーの墓場と「SameSite=None」の深淵：HTTPS強制のその先にある設計思想現場でコードを叩いている諸君なら、Chromeのアップデートで突如として「警告」の嵐に巻き込まれた経験があるだろう。特に SameSite=None ...

「SameSite=NoneならSecure必須」を甘く見るな。Cookieの境界線を守り抜くための実戦的防衛術やあ、現場の最前線でコードと格闘している諸君。今日取り上げるのは、一見すると「ブラウザの仕様変更」という地味な話題だ。しかし、こ...

こんにちは。セキュリティの世界へようこそ。現場で泥臭いインシデント対応をしていると、「なぜこんな面倒な設定が必要なんだ？」とイライラする場面に遭遇することもあるでしょう。ですが、その「面倒」こそが、あなたのサービスを守る最後の砦だったりしま...