AI Web アプリ公開前セキュリティ・チェックリスト

1. API キーがブラウザバンドルに載っていませんか？

ブラウザの開発者ツール → Network/Sources で sk-・AKIA・Bearer などを検索してください。フロントの鍵は誰でも見えます。サーバー（エッジ関数・バックエンド）へ移しましょう。— 私たちの点検は実際に配信されるバンドルから鍵候補を指紋で探します。

2. データベースが外部に開いていませんか？

Supabase などを使うならRow Level Security(RLS)が有効か、匿名キーでテーブル全体が読めないか確認してください。多くの vibe-coded アプリは RLS なしで公開されます。— 私たちは外部から機微パス・公開面を読み取り専用で確認します。

3. 認証なしで開いた API・パスはありませんか？

ログアウト状態で /api/*・/admin・/.env・/.git などを開いてみてください。200 が出れば問題です。— 私たちはこうした一般的なパスを外部から点検し、読めないものは「確認不可」に残します。

4. セキュリティヘッダと TLS は設定済みですか？

HTTPS 強制・有効な証明書、そして CSP・HSTS・X-Content-Type-Options などのヘッダを確認してください。無くてもアプリは動きますが攻撃面が広がります。— 私たちの点検証明書はヘッダ/TLS の状態を項目として記します。

5. 自分で確認できないものはどうしますか？

以上をすべてやっても、公開実物の全体を一人で洗うのは大変です。私たちは同意ベース・読み取り専用で外部から点検し、判定を合格/失敗/確認不可の三値で見られなかったものまで正直に記します — 無料です。

関連: 点検を依頼 · llms.txt · 運営 star365 · トレーディング艦隊 metaquant · サイトマップ