自作アプリのセキュリティ確認。認証の外に何を配っているか見る手順
こんにちは、時短ギア管理人の清光です。
AIと一緒に自分専用のアプリやツールを作った方に、ひとつ質問です。そのアプリ、ログインの外側に何を配っているか確かめたことはありますか？
「ログインしないと入れない画面だから安全」——正直、私もそう思い込んでいました。
この記事では、自作アプリのセキュリティを、コードが読めない非エンジニアでも自分で確認する手順を紹介します。今日、5分でできます。
ログインの内側で作っても、部品は認証の外に配られている
まず仕組みの話です。アプリの「画面」はログインで守れます。
でも、その画面が読み込む「部品」は別扱いなんですよね。
画像やJavaScript（画面を動かす小さなプログラム）は、多くの場合ログインを通らずに配られています。
つまり、URLさえ分かれば誰でも取得できる。ここが見落としやすい盲点です。
「認証の内側か外側か」は、画面の見た目ではなく、配られ方の単位で決まります。ここを勘違いすると事故ります。
実際に取得したら、隠すべき情報が平文で書かれていた
これは私自身の失敗談です。自作の業務ツールで、書類に印字する情報を部品の中に直接書いていました。
ある日ふと気になって、ログインしない状態でその部品を1つ取得してみたんです。
中を検索したら、本来は設定に置くべき情報が、そのまま文字で書かれていました。人に見せたくない類いの情報です。
ログインの内側で作っているつもりが、実際は認証を通らず誰でも読める場所に置いていたわけです。
正直、血の気が引きました。でも気づけたのは「実際に取得して中身を見た」からです。
憶測のままなら、今も気づいていません。
自作アプリのセキュリティを確認する手順
難しい知識はいりません。やることは「ログインしない状態で部品を1つ取り、中身を読む」だけです。
- いつものブラウザとは別に「シークレットウィンドウ」を開く（ログイン情報が入っていない状態を作るため）。
- 自分のアプリを普通に開き、キーボードで
CtrlとUを同時に押して、画面の裏側（ソース）を表示する。 - そこに並ぶ部品（
.jsのファイルや画像）のURLを1つコピーし、シークレットウィンドウのアドレス欄に貼って開く。 - 開けて中身が読めたら、それは「認証の外に配られている」印。中身を検索して、住所・電話・振込先などが書かれていないか確かめる。
ログインしていないのに部品が開けて中身が読める。これが確認できたら、あなたのアプリも同じ構造だと分かります。
見つけたときの直し方は3つセット
もし中身に見せたくない情報があったら、次の3つをセットで直します。1つでも抜けると意味が薄れます。
- コードに直接書くのをやめて、設定側へ移す（部品に埋め込まない）。
- 移すときに、元の値をコードへ書き戻さない。書き戻すと結局そのまま公開が続く。
- 直したあと、もう一度その部品を取得して中身を検索し、「無い」ことを自分の目で確認する。
3番目が肝心です。直したつもりで終わらせず、実際に取得して「無い」まで見ましょう。
ここまでやって、ようやく1セットです。
設定と個別データの置き場所を分ける考え方は、アプリの設定に何でも置くと事故る話にも書いたので、あわせてどうぞ。
ひとつ割り切りも書いておきます。一度ネットに出た情報は履歴などに残るので、完全には消せません。
それでも「今後は配られない」状態にするだけで、リスクはぐっと減ります。
よくある疑問に先回りで答えます
Q. コードが読めなくても大丈夫？
大丈夫です。中身を全部理解する必要はありません。
住所や電話番号など「見せたくない文字」で検索して、あるか無いかだけ見れば十分です。
Q. 部品が開けなかったら安全ということ？
開けない（ログインを求められる）なら、その部品は認証の内側にあります。ひとまず安心材料です。
ただしアプリには部品がたくさんあるので、主要なものはいくつか見ておくと安心です。
Q. AIに作ってもらったアプリでも起きる？
むしろ起きやすいです。AIは動くものを素早く作りますが、「どこまで公開されるか」までは気を配ってくれないことがあります。
作ったのがAIでも、確認するのは持ち主の仕事なんですよね。
まとめ：5分の確認で、静かな漏れを止められる
- アプリの画面はログインで守れるが、画像やJavaScriptなどの部品は認証の外に配られていることがある。
- 確認は「ログインしない状態で部品を1つ取得し、中身を検索する」だけ。コードは読めなくていい。
- 直すときは「設定へ移す／元の値を書き戻さない／取得して無いことを確認」の3点セット。
この確認にかかるのは5分ほど。それで「知らないうちに情報が漏れ続ける」という一番怖い状態を止められます。
浮くのは時間ではなく、夜ぐっすり眠れる安心のほうかもしれません。
今日はここまで。
この記事が、あなたの時間を少しでも価値に変えるお手伝いになれば嬉しいです。
それでは、また次の時短ハックでお会いしましょう。
