公開する前に、サイトをスキャンします。1回のチェックで、公開日にすり抜けがちなものをカバーします：JavaScript内のAPIキー、公開された.envや.gitフォルダ、ソースマップ、弱いセキュリティヘッダー、混在コンテンツ、忘れられたnoindex、欠けたタイトル、共有タグ、ファビコン。無料で、スキャンした内容は保存されません。
サイトをスキャンする方法、手順ごとに
- アドレスボックスに、サイトのアドレスを入力します。
- 「サイトをスキャン」を押して、しばらく待ちます。
- 結果を読みます。タブで、「すべてのチェック」または1つのカテゴリを表示できます：ファイルと秘密情報、セキュリティ、検索と共有、基本。
- 指摘されたものを修正し、デプロイして、もう一度スキャンして確認します。
スキャンが探すもの
公開されたファイルと秘密情報：HTMLやスクリプト内のAPIキー、トークン、秘密鍵、公開された.env、.git、config.jsonファイル、元のコードを公開するソースマップ。セキュリティ：HTTPSと通常のHTTPからのリダイレクト、主なセキュリティヘッダー、Cookieのフラグ、混在コンテンツ、security.txtの連絡先。検索と共有：タイトル、説明、Open Graphタグ、robots.txt、sitemap.xml、ステージングから残ったnoindex。基本：ビューポート、ページの言語、ファビコン、プライバシーポリシーと利用規約へのリンク。
スキャンするとどうなるか
このツールはネットワークリクエストを行うため、正確に何をするかをお伝えします。Snowkitのサーバーは、ホームページ、robots.txt、sitemap.xml、security.txt、ファビコン、ご自身のスクリプトを最大5つとそのソースマップ、一般的な4つの漏洩パスを取得します。合計で最大30回のリクエストで、クロールはありません。キーとタグは、ブラウザ上で確認され、何も保存されません。ご自身が運営している、またはテストの許可を得ているサイトだけをスキャンしてください。
キーが見つかったら
サイトがまだ公開されていなくても、漏洩したものとして扱ってください。まずプロバイダーで無効化またはローテーションしてから、フロントエンドのコードから、サーバー側の環境変数やバックエンドの関数に移してください。公開可能な支払いキーや制限付きの地図キーなど、ブラウザ向けのキーは、公開しても問題ありませんが、プロバイダーのダッシュボードで、ドメインに制限してください。
見られないもの
ホームページと、そこからリンクされたファイルをチェックし、すべてのページではありません。JavaScriptの実行後にだけ現れる内容、ログインの後ろのページ、サーバー側のコードは、見られません。問題のないスキャン結果は、よくある公開時のミスがカバーされたことを意味し、サイトが完全に安全であることを意味するものではありません。
簡単な公開チェックリスト
- 下書きのリンクではなく、本番のアドレスでスキャンしてください。
- ステージングから残ったnoindexを削除してください。
- メタタグ作成で、各主要ページに、タイトル、説明、共有画像を追加してください。
- サイトマップ作成でサイトマップを、プライバシーポリシー作成でプライバシーのページを公開してください。
- デプロイする前に、シークレットスキャナーで、ご自身のコードを確認してください。
よくある質問
どのサイトでもスキャンできますか？
ご自身が運営している、またはテストの許可を得ているサイトだけをスキャンしてください。
結果は保存されますか？
いいえ。スキャンした内容は保存されません。
問題なしの結果は保証になりますか？
いいえ。見える範囲のページにある、よくある公開時のミスを対象としており、起こりうるすべての弱点を網羅するわけではありません。