スキャナが見るのはソースコード。しかし事故はデプロイしたもので起きます — ブラウザに載った API キー、外部から取れる DB 接続情報・ダンプ、認証のない API。私たちは公開された実物を見ます。そして確認できなかったことまで記します。
出典: Escape.tech — State of Security of Vibe Coded Apps（2025・約 1,400 アプリ・重大脆弱性 2,038 件）· Veracode 2025 GenAI Code Security Report（100+ LLM）· 業界の数値であり、あなたのアプリの実測値ではありません
あなたがそのドメインを管理していると証明する前には、何もスキャンしません。「同意する」チェックではなく、あなたにしかできない証明を受け取ります。他人があなたのドメインを入力して点検させることはできません。
SSH 内部点検は、別途明示的な依頼とアクセス権がある場合にのみ実施します。結果はあなただけに渡し、どこにも公開しません。見つかった秘密値は指紋だけを残し、原本は保存しません。
HOW IT WORKS
二つ目のステップ — 同意の証明 — が、このサービスを安全にします。
点検する Web アプリのアドレスを入力すると、あなたの依頼だけに紐づく固有トークンを発行します。
発行されたトークンを /.well-known/star365-audit-consent.txt に置くか、DNS TXT に追加します。そこにトークンを置けること自体があなたがそのドメインの持ち主である証明です。
トークンを確認した後にのみ点検します。合格・失敗（注意/危険）、そして確認できなかった項目まで、改ざん不可能な点検証明書でお渡しします。
TRY IT
実際の点検はサーバーで走りますが、依頼・トークン発行の流れはここでそのまま体験できます。
WHAT WE CHECK
この一覧は手書きではなく、点検エンジンが宣言した項目からそのまま生成されます — エンジンが変われば表も変わります。各項目の判定は合格・失敗・確認不可の三値です。
サイトが応答するか。読めなければ他の項目も判定しません。
reachableブラウザへ届く HTML・JS に API キーなどの秘密値が載っていないか。
client_secrets公開されたソースマップ（.map やインライン data-URI）でバンドルから元のソースが復元されるか。バンドルにシークレットが無くても、価格ロジック・内部フロー・コメントまで露出します。外部リバースエンジニアリングが狙う箇所です。
source_maps.env・.git などの機微パスが外から開いていないか。
exposed_pathsCSP・HSTS など主要な 4 種が設定されているか。
security_headers存在しない URL に 200 を返さないか — 機械が誤字 URL を実在ページと読みます。
soft_404HTTPS なのに Secure がないクッキーがないか — 平文リクエストで漏れ得ます。
cookie_flagsrobots.txt が公開ページを全クローラに対して塞いでいないか。ファイルが無いのは正常です。
robots_sanityJavaScript を実行せずに受け取る HTML に本文があるか — クローラやリンクプレビューは JS を動かしません。
server_rendered_body実ブラウザで開き、コンソールにエラーが出ないか。
runtime_errorsスクリプト・画像などの読み込み失敗がないか。
broken_assetshttps ページが http 資源を呼んでいないか。
mixed_content本文が実際に描画されるか — 200 でも空白画面のことがあります。
renders_content狭い画面で横スクロールが出ないか。
mobile_overflowページ内の内部リンクを辿り、実際に開くか確認します。
internal_links実際の画面で文字サイズとコントラストを測ります — 最小 12px、WCAG AA（本文 4.5:1・大文字 3:1）。背景を確定できなければ判定しません。
readability公開ページが localhost・プライベート IP を呼んでいないか — 開発用 API アドレスが本番に残ると訪問者の画面で失敗します。
private_network_callsよくある API パスがログインなしで会員情報（メール・電話など）の一覧を返さないか — GET のみで確認し、値は保存しません。
open_api_dataバンドルに Supabase の URL と anon キーがある場合、バンドルがすでに呼んでいるテーブルを匿名キーで 1 件ずつ GET し、RLS が有効かを確認します。行の値は読まず、列名だけを見ます。
supabase_rlsServer・X-Powered-By ヘッダーや generator タグに nginx/1.24.0 のようなバージョン文字列が出ていないかを確認します。バージョンそのものは欠陥ではありませんが、攻撃者に手がかりを与えます。脆弱かどうかは判定しません。
version_disclosureSAMPLE REPORT
実際の点検例です。合格だけでなく — 見られなかったものと直すべきものも併記します。
WHY US
Snyk・Semgrep の無料枠は優秀です。ただし見るのはソースコードです。
FAQ
人と AI 回答エンジンが同じ答えを読めるよう、よくある質問をここにそのまま記します。
ソースコードではなく、公開された実物を見ます。ブラウザに載った API キー、外部から取れる DB 接続情報・ダンプ、認証のない API — さらに実際のブラウザで開いてコンソールのエラー・壊れた資源・モバイルの横はみ出し・切れたリンクまで確認します。デプロイ後に起きる事故を外部から見ます。
チェックではなく証明で得ます。トークンを発行し、それをドメインの指定パスに置くか DNS TXT レコードに入れて所有を証明したときのみ点検を始めます。スキャン直前に再検証します。
外部点検は読み取り専用の GET リクエストのみを使います。インジェクション・総当たり・過負荷は行いません。結果の点検証明書は改ざん検知可能なハッシュチェーンで残します。
判定は 合格 / 失敗 / 確認不可 の三値で、失敗は深刻度（注意/危険）を併記します。読めなかった項目を合格や 0 に丸めず、確認できなかったことまでそのまま記します。
外部点検は無料です。ご希望なら任意の寄付（非カストディ: USDT・USDC・BTC・ETH・BNB）を受け付けます。SSH 内部点検・定期監視は範囲に応じて相談のうえ進めます。
関連: 点検を依頼 · llms.txt · 運営 star365 · トレーディング艦隊 metaquant · サイトマップ
この点検が役立ったなら
外部点検は無料です。もっと深い点検が必要な方、役に立った方は、シグナルを残してください — それがこのサービスを続ける力になります。
SUPPORT
外部点検は無料です。役に立ったら、皆さまの寄付がこのサービスを支えます（任意）。非カストディ — ウォレットへ直接。
🔴 表示されたネットワークでのみ送ってください — 別チェーンに送ると失われます。最低額未満も失われます。
寄付は star365 取引所口座に入ります · USDT・USDC・BTC・ETH・BNB 対応