Webセキュリティ とは？

Webサイトやアプリ、その利用者を攻撃による被害から守るものだよ。利用者の情報を他人に読まれないようにしたり、許可していない操作を防いだりする。特定の製品を一つ入れれば完成するものではないんだ。

HTTPSで使うTLSは、通信内容の盗み見や改ざんを防ぎ、接続先のサーバーを確認するための技術だよ。でも、アプリ内の権限の誤りや、危険な入力の扱いまで全部直すわけではない。それぞれの問題への対策も必要なんだ。

認証と認可を分けよう。認証は誰かを確認すること、認可はその人などにどの操作やデータへのアクセスを許すか決めることだよ。ログイン済みでも、他の利用者のデータを見てよいとは限らないんだ。

CSPは、ページが読み込めるスクリプトなどをブラウザへ指示し、XSSの危険を減らすためなどに使う。設定に応じた制限なので、すべての攻撃を止める万能な壁ではない。入力の検証や、表示する際の適切な変換も組み合わせよう。

サイトの機能や扱うデータに合わせて、守る対象と想定する攻撃を考えよう。OWASPのASVSは、安全な開発の要件と、対策の検証の土台を提供する。設定しただけで終わらず、機能と防御を確かめ、変更に応じて見直すことも大切だね。