秘密情報がブラウザへ流出
サーバー認証情報がフロントエンド設定や配信バンドルを通じて公開されることがあります。
Replit アプリのセキュリティ
Replit アプリを根拠に基づいてセキュリティ確認
まず公開URLを確認し、必要な場合のみソースを接続します。BoringSec は観測済みの根拠と、許可やリポジトリアクセスが必要な確認を分離します。
公開前、または認証・データアクセス・依存関係・環境設定を変更した後に適しています。
所有している、または明示的な許可を得たシステムのみをスキャンしてください。詳細エンジンには確認済みの許可が必要で、対象によっては利用できません。
レポート / 検出例例示
重大
レポート構成例
サーバー認証情報がクライアントコードに露出
- 根拠
- 対応しているサーバー専用認証情報の形式がバンドルまたは接続済みソースにあり、値はマスクされています。
- 意味
- ブラウザに配信されたコードは、リポジトリが非公開でも公開情報です。
- 修正と検証
- 認証情報を無効化・ローテーションし、処理をサーバー側へ移し、再公開後に検証してください。
これは説明用の検出例であり、お客様のアプリの結果ではありません。実際のレポートには、スキャナー、根拠の状態、対象ごとのカバレッジ制限が表示されます。
一般的なリスク経路
詳しく確認すべきポイント
これは Replit プロジェクトに関連するリスクパターンであり、すべてのプロジェクトに問題があるという意味ではありません。根拠が得られた場合のみ検出として表示します。
認証はあるが認可がない
有効なセッションだけでは、サーバー側の所有権確認がないデータを保護できません。
設定と依存関係のドリフト
高速な変更で、許可の広いポリシー、デバッグ経路、脆弱なパッケージが残ることがあります。
正直なカバレッジ
各スキャン面で証明できること
公開URL、接続済みソース、許可済み詳細エンジンはそれぞれ別の問いに答えます。BoringSec は根拠を分離し、部分的・ブロック・利用不可の状態を明示します。
公開メソドロジーを読む （英語）公開されたWeb面
外部から観測できる TLS、ヘッダー、Cookie、CORS、公開ファイル、技術情報を確認します。
配信JavaScript
同一オリジンの限定されたバンドルを調べ、取得できない部分は部分カバレッジとして記録します。
独立した詳細エンジン
Nuclei、OWASP ZAP、Medusa は許可確認済みかつ利用可能な場合のみ実行します。
リポジトリ文脈
明示的に接続したリポジトリから、秘密情報、認証、依存関係のシグナルを追加します。
観測から検証まで
次の行動につながるレポート
- 01
観測
公開レスポンスを調べ、適用可能なバックグラウンドエンジンを開始します。
- 02
根拠を確認
何を、どのスキャナーが、どの確度で観測したかを確認します。
- 03
文脈に沿って修正
Replit に関係する文脈と具体的な修正手順を使います。
- 04
再テスト
新しい評価を実行し、その後のリグレッションは監視で検出します。
スキャン前の質問
プラットフォームの認証情報は必要ですか？
不要です。URLスキャンは公開面のみを観測し、リポジトリと認証済み文脈は別途明示的に接続します。
URLだけで何を証明できますか？
外部から観測できる根拠は示せますが、非公開コードや認証後フローの安全性までは証明できません。
問題なしなら完全に安全ですか？
いいえ。未評価、ブロック、利用不可の範囲は合格扱いにせず明示します。
スキャンは対象を変更しますか？
公開フローは限定リクエストのみで、発見した認証情報を使わず、意図的にデータを変更しません。
公開アプリを確認し、すべての修正を検証
まず公開URLから開始し、必要な場合にのみソースや認証済みコンテキストを追加します。
セキュリティスキャンを開始