Webセキュリティ専門の学習

時代遅れの「鍵」を捨てよう！TLS 1.3への移行で守る、あなたのWebサイトの「玄関」こんにちは。セキュリティの世界で長く戦っていると、ときどき「なぜ、まだその古い鍵を使っているの？」と、ゾッとするような現場に出くわすことがあります。今日...

ブラウザの「制御権」を取り戻せ：Permissions-Policyが防ぐ静かなる乗っ取りセキュリティアーキテクトとして、我々が日々向き合っているのは「脆弱性のパッチ」だけではない。ブラウザという、もはやOSと同等の複雑性を持つ巨大な実行環...

なぜ「Permissions-Policy」を無視するのか？：ブラウザの蛇口を締め上げる防衛術やあ。現場で泥をすすりながらインシデント対応をしているエンジニア諸君、今日も「動けば正義」のコードを書いていないだろうか？今日は、多くの開発者が「...

こんにちは。セキュリティの世界へようこそ。現場でバリバリとコードを書いていると、ついつい「機能の実装」に集中してしまいがちですよね。でも、ちょっと待ってください。「動くものを作ること」と「安全に動くものを作ること」は、実は別のスキルなんです...

玄関の鍵をかけたはずなのに、なぜか「訪問先のメモ」を落としてしまう？こんにちは。セキュリティの世界で長く泥臭い現場を歩んできたエンジニアです。今日は皆さんに、Webサイトの「うっかり漏洩」を防ぐための非常に重要な武器、「Referrer-P...

こんにちは！セキュリティの世界へようこそ。日々、見えない脅威と戦っているエンジニアの皆さん、あるいは「セキュリティってなんか難しそう…」と不安を感じている新人担当者の皆さん、お疲れ様です。今日は、数あるセキュリティ対策の中でも、「え、そんな...

CSPは「設定して終わり」の特効薬ではない：現代のフロントエンド防衛論「CSPを導入したからXSSは完璧だ」と豪語するエンジニアに出会うと、私は決まってそのCSPヘッダーをブラウザのデベロッパーツールで確認する。十中八九、'unsafe-i...

CSP（Content-Security-Policy）は「魔法の杖」ではない。防御の最後の砦を築くための設計論現場でインシデント対応をしていると、よくこんな相談を受ける。「CSPを入れたいんですが、どのディレクティブを許可すればいいですか...

こんにちは。セキュリティの最前線で、日々「どうすればシステムを泥棒から守れるか」と格闘しているエンジニアです。今日は、WebサイトをXSS（クロスサイトスクリプティング）という「悪意ある侵入者」から守るための最強の盾、「Content-Se...

HSTSの深淵：なぜ「HTTPS強制」だけでは、まだ不十分なのか多くのジュニアなエンジニアや、セキュリティを「チェックリスト」としてしか捉えていないマネージャーは、HSTS（HTTP Strict Transport Security）を「...