Malinois利用者が受け取る最終レスポンスを確認
リダイレクト後の HTTPS 応答を調べ、実際のアプリに必要なポリシーだけを許可します。
修正が公開され、二回目の確認で解消が分かるまで対応済みにしません。
ヘッダーごとの確認
Content-Security-Policy
必要な配信元だけを許可し、ワイルドカードや unsafe 設定を減らします。
Strict-Transport-Security
全ホストの HTTPS を確認してから設定し、サブドメインは準備済みの場合だけ含めます。
フレーム保護
frame-ancestors と X-Frame-Options の意図を一致させます。
X-Content-Type-Options
nosniff と正しい Content-Type を使います。
Referrer-Policy
遷移先へ渡す元 URL の情報を制限します。
Permissions-Policy
不要なカメラ、マイク、位置情報を無効にします。
主要ルートを再確認
ホーム、ログイン、API、エラー、静的ファイルを個別に調べます。
安全な確認の三原則
- 確認したホストと環境
- 担当者、修正、再確認の状態
- 値を含まないキー更新日
- 別の運用者が実行できる復旧手順
小さな変更ごとに動作を確認
パッシブな外部確認のみ。悪用や侵入テストは行いません。 所有者の許可のもと、Malinois は公開レスポンスにあるファイル、秘密情報、データアクセスの兆候、不足ヘッダーを確認します。
リストだけでなく実際のデプロイを確認
所有者の許可のもと、Malinois は公開レスポンスにあるファイル、秘密情報、データアクセスの兆候、不足ヘッダーを確認します。
無料のパッシブチェックを実行パッシブな外部確認のみ。悪用や侵入テストは行いません。