OWASP Top 10の基本概念と最新動向

CORSの「ワイルドカード」という名の時限爆弾：なぜあなたのAPIは無防備なのか現場でコードレビューをしていると、今でもたまに目にするのが Access-Control-Allow-Origin: という記述だ。「とりあえず外部サイトからA...

CORSの落とし穴：あなたのサイトを「誰でも入れる家」にしていませんか？こんにちは！セキュリティの世界へようこそ。今日は、Web開発の現場で避けては通れない「CORS（Cross-Origin Resource Sharing）」についてお...

クリックジャッキングの深淵：なぜ「X-Frame-Options」は未だに現役なのかセキュリティの世界では、派手なゼロデイ脆弱性やメモリ破壊バグばかりが脚光を浴びがちだ。しかし、現場で我々が真に頭を抱えるのは、プロトコルの仕様がもたらす「盲...

クリックジャッキングの脅威と、現場で「絶対に事故らない」ための防御作戦やあ。今日も本番環境のログとにらめっこ、お疲れ様。開発者や運用担当者から「セキュリティは大事だよね」という言葉を聞くたびに、僕は少し複雑な気分になる。彼らは往々にして「S...

こんにちは。セキュリティの世界へようこそ。現場で泥臭いインシデント対応をしていると、「なぜもっと早くこれに気づかなかったんだ！」と頭を抱えたくなるような、灯台下暗しな脆弱性に遭遇することが多々あります。今日は、その中でも特にシンプルかつ強力...

Cookieは「信頼の境界線」ではない：Secure/HttpOnly/SameSiteの先にある真実多くの開発者は、Cookieを単なる「セッションを維持するための鍵」だと誤解している。しかし、セキュリティの最前線に身を置く者にとって、C...

「Cookieの設定くらい、適当でいいか」と思っている君へ。セッションハイジャックとCSRFの防波堤を盤石にする技術現場で「なぜそのCookie属性が必要なのか？」と聞かれたとき、教科書の丸暗記ではなく、攻撃者の思考回路から説明できるだろう...

鍵をかけるだけじゃ足りない？Webの「Cookie」を守るための、泥棒に入られない家づくりこんにちは！セキュリティの世界へようこそ。日々、技術の最前線でコードを書いていると、「とりあえず動くものを作る」ことに必死になりがちですよね。でも、ち...

時代遅れの「鍵」を捨てよう！TLS 1.3への移行で守る、あなたのWebサイトの「玄関」こんにちは。セキュリティの世界で長く戦っていると、ときどき「なぜ、まだその古い鍵を使っているの？」と、ゾッとするような現場に出くわすことがあります。今日...

ブラウザの「制御権」を取り戻せ：Permissions-Policyが防ぐ静かなる乗っ取りセキュリティアーキテクトとして、我々が日々向き合っているのは「脆弱性のパッチ」だけではない。ブラウザという、もはやOSと同等の複雑性を持つ巨大な実行環...