アプリが外に見せているものを、無料で確認

チェックを申し込む

確認する項目

どれも、アプリの公開部分、つまりすでにすべての訪問者に配信している内容についての確認です。無料チェックで、非公開のコードを読んだりスキャンしたりすることはありません。リポジトリへのアクセスも必要ありません。コードのレビューは、ローンチチェックと監査で行います。

• 露出したキーとシークレット：アプリがすべての訪問者のブラウザに配信しているJavaScriptに含まれた、APIキー、トークン、サービスの認証情報。
• ヘッダー、HTTPS、CORS：セキュリティヘッダー、httpからhttpsへの切り替え、ほかのサイトからの呼び出しをどこまで許可しているか。
• 外から見えるバージョン情報：アプリが外部に示しているフレームワークや依存関係のバージョン。攻撃の手がかりになります。
• パフォーマンスと稼働状況：Core Web Vitalsと、エラーが起きたときにアプリが表示する内容。

Supabaseのテーブルが公開状態になっていないかといったデータベースのアクセスルールや、新規登録の設定は、まだ無料チェックの対象外です。対象になるまでは、レポートに確認していない項目として明記します。どちらもローンチチェックと監査で確認します。

チェックは、ブラウザと同じ種類のリクエストを、間隔をあけて送るだけです。アクセスするのはアプリ自体と、アプリのコードが指定しているデータベースのホストに限ります。ログイン、フォームの送信、データの変更は一切行いません。外から安全に確認できない項目は、推測で判断せず、確認していない項目として記載します。あくまで最初の確認であり、問題がないことを保証するものではありません。指摘がなかったからといって、問題がないとは限りません。

実施のタイミング

次の二つが済んでから実施します。お送りするメールからお申し込みを確認いただくことと、アプリの所有確認です。両方が済むまでは、アプリに一切アクセスしません。

所有確認は、次のいずれかの方法でできます。

• アプリと同じドメインのメールアドレス：app.acme.comなら、you@acme.comのようなアドレスです。フリーメールや、lovable.app、vercel.appのような共有のプラットフォームのドメインは、誰でも取得できるため対象外です。
• DNSのTXTレコード：_anyfront-check.にアプリのホスト名を続けた名前で、お申し込みの確認後に表示する値を登録していただきます。
• metaタグまたはファイル：アプリのトップページへのタグの追加か、/.well-known/anyfront-check.txtへのファイルの設置です。lovable.app、vercel.app、replit.appなど、プラットフォームのアドレスでも使えます。
• リポジトリへの読み取り専用の招待：Aaronが招待を承認し、記録します。招待は所有確認にだけ使い、無料チェックのためにリポジトリの中身を読んだりスキャンしたりすることはありません。

設定する値は、お申し込みの確認ページに表示します。準備ができたら、そのページから確認を実行できます。

お届けするもの

• 数分で「自動チェックの結果」。所有確認が済むとスキャンが自動で実行され、お客様専用のレポートページへのリンクをメールでお送りします。指摘ごとに、深刻度、事業への影響（1行）、対応方法を記載します。サンプルを見る
• 2営業日以内に「Aaronによる確認済み」。誤検知を取り除き、補足を加えてページを更新し、2通目のメールでお知らせします。
• 必要なときにPDF。レポートのページから、印刷またはPDFとして保存できます。
• お打ち合わせの予約リンク。結果を見て監査をご検討の場合にお使いください。ご契約の義務はありません。

データの扱い

• 確認されなかったお申し込みや、所有確認が済まなかったお申し込みは、7日後に削除します。
• レポートは90日後に削除します。残したい場合は、レポートのページにあるボタンから保存すると、確認済みのメールアドレスでAnyfrontのアカウントが作られ、そこに移ります。スキャンの生データは、どちらの場合も90日後に削除します。
• レポートのページには、アクセス解析やトラッカーを入れておらず、検索エンジンにも登録されません。
• お客様やアプリについての情報を、書面による同意なく公開することはありません。

詳しくはプライバシーポリシーを、チェックそのものの条件は利用規約をご覧ください。