Webセキュリティ専門の学習

クッキーの墓場と「SameSite=None」の深淵：HTTPS強制のその先にある設計思想現場でコードを叩いている諸君なら、Chromeのアップデートで突如として「警告」の嵐に巻き込まれた経験があるだろう。特に SameSite=None ...

「SameSite=NoneならSecure必須」を甘く見るな。Cookieの境界線を守り抜くための実戦的防衛術やあ、現場の最前線でコードと格闘している諸君。今日取り上げるのは、一見すると「ブラウザの仕様変更」という地味な話題だ。しかし、こ...

こんにちは。セキュリティの世界へようこそ。現場で泥臭いインシデント対応をしていると、「なぜこんな面倒な設定が必要なんだ？」とイライラする場面に遭遇することもあるでしょう。ですが、その「面倒」こそが、あなたのサービスを守る最後の砦だったりしま...

境界防御の終焉と「意図」の再検証：再認証という最後の防波堤多くのセキュリティエンジニアが、CSRF（クロスサイトリクエストフォージェリ）を「古臭いWebの脆弱性」と軽視している。だが、現場でインシデントレスポンスを担当していると、この「古臭...

「ログインしてるから大丈夫」は命取り。CSRFと再認証の泥臭い現実現場のエンジニア諸君、お疲れ様。今日もコードと格闘していることと思う。さて、今回は「CSRF（クロスサイト・リクエスト・フォージェリ）対策」の話だ。教科書には「Anti-CS...

「ログインしたまま」は本当に安全？大事な操作の前に「もう一度」が必要な理由こんにちは！セキュリティの世界へようこそ。日々、Webアプリケーションを作ったり運用したりしていると、「利便性」と「セキュリティ」の板挟みになることはありませんか？「...

こんにちは。セキュリティの世界へようこそ。現場でバリバリとコードを書いていると、「動けば正義」になりがちですが、ふと立ち止まって「自分の作ったサイトが、知らない誰かに悪用されていないか？」と不安になることはありませんか？今日は、そんなあなた...

「透明な罠」からサイトを守る！クリックジャッキングを防ぐX-Frame-Optionsの基礎知識こんにちは！セキュリティの世界へようこそ。日々、脆弱性診断やインシデント対応の現場に立っていると、「技術は進歩しても、人間の心理を突く攻撃はなく...

「透明な罠」からユーザーを守れ！クリックジャッキングの仕組みと今すぐできる防衛術こんにちは！セキュリティの世界へようこそ。日々、コードを書いたりインフラを整えたりしていると、「機能さえ動けばセキュリティなんて後回し…」なんて思ってしまうこと...

カスタムヘッダーによるCSRF防御の「幻想」と、CORSプリフライトの深淵多くのエンジニアが「X-Requested-WithヘッダーさえチェックしていればCSRFは防げる」と信じ込んでいる。これは半分正解であり、同時に、現代のブラウザ仕様...