Vibe Coding セキュリティ

ローンチをツイートする前に、この69項目のチェックを実行してください。これらは、Lovable RLS CVE（CVE-2025-48757、170以上のアプリ、2025年）、Moltbook の漏洩（150万のAPIトークン、2026年2月）、そして2026年4月の Lovable プラットフォーム侵害（他ユーザーのプロジェクトのソースコード＋サービスキー、約2.5か月間露出）の背後にある正確なパターンに対応しています。

完全版キットが欲しいですか？ 50の監査スキル、15の.cursorrules、1つのMCP設定＋4つのCLIレシピ、30の敵対的レビュープロンプト、10のケーススタディ。5分でインストール。一律$10。

→ rishabhvaai.gumroad.com/l/plddbd

2025年10月に公開された監査で、Escape.tech は14,600のアセットにわたる5,600の実際のAI生成アプリをスキャンしました（方法論）。その中で1,400のアプリについて、2,038件の重大な脆弱性、400以上の漏洩シークレット、175件のPII露出を報告しました（調査結果）。シークレットはフロントエンドバンドルからそのまま漏れていました。Stripe、OpenAI、Supabase のキーがクライアントサイドJavaScriptに置かれていたのです。その後も状況は改善していません。GitGuardian の2026年レポートでは、2025年に公開GitHub上で2,860万件の新しいシークレットが確認され（前年比+34%）、AIサービス関連のシークレットは81%増加し、コーディングエージェントが共同作成したコミットは人間のベースラインの約2倍の割合でシークレットを漏洩しています。これは69項目の具体的で検証可能なチェックリストです。各項目は実際のインシデントパターンに対応しています。69項目すべてにチェックを付けられたら、出荷しましょう。付けられないなら、妨げになっているものを修正してください。

SaaSではありません。スキャナーでもありません。本番にプッシュする前に実行するフラットなリストです。

69項目のローンチ前セキュリティチェックリスト

出荷まであと30分。止まってください。まずこれを実行してください。

Lovable RLS の脆弱性だけでも（CVE-2025-48757、2025年、CVSS 9.3）170以上の本番アプリを露出させました。Moltbook は2026年2月に150万のAPIトークンを露出させました。たった1回の curl で照会可能な状態でした。これらはエッジケースではありませんでした。主流のローンチでした。

このチェックリストは、認証、シークレット、API、データベース、フロントエンド、AI/LLM、エージェントツール、デプロイにわたる69の具体的で検証可能な項目をグループ化しています。69項目すべてにチェックを付けられないなら、出荷しないでください。

認証（8項目）

1. データベース内のすべてのテーブルで行レベルセキュリティ（RLS）が有効になっている。
2. すべてのテーブルとすべてのロール（anon、authenticated、service_role）に対してRLSポリシーが存在する。
3. 保護されたすべてのAPIルートでJWTトークンがサーバー側で検証されている（認証の検証をフロントエンドに委ねてはならない）。
4. ログイン後にセッションがローテーションまたは無効化される（CSRF＋セッション固定攻撃の保護）。
5. マジックリンク（パスワードレス認証）は一度きりで、15分未満で失効し、ユーザーのIPまたはデバイスフィンガープリントに紐付けられている。
6. ユーザーが提供したIDだけでは、ユーザー、注文、機密レコードを更新または削除できない。テスト：リクエスト内のIDを変更して、他のユーザーのレコードを更新してみる。
7. 状態を変更するリクエスト（POST、PUT、DELETE）で、ダブルサブミットクッキーまたはSameSite=StrictによりCSRFトークンが検証されている。
8. セッションクッキーにHttpOnly、Secure、SameSite=Strictフラグが設定されている。

シークレットと環境（7項目）

9. NEXT_PUBLIC_* 変数、Vue/Reactの .env ファイル、ハードコードされた文字列にシークレットがない。NEXT_PUBLIC_ を grep してすべての変数を監査する。
10. .env、.env.local、.env.*.local が .gitignore に含まれ、決してコミットされていない。git履歴を確認：git log --all -p | grep -i "api_key\|secret"。
11. Supabase の service_role キーはサーバー側の .env（Node、Python、Goなど）にのみ存在し、フロントエンドバンドルや .env.local には決して置かない。service_role キーはRLSを完全にバイパスする。一度漏洩すれば、すべてのテーブルへの完全な読み書きが可能になる。
12. Stripeキー：公開キーは NEXT_PUBLIC_* に、シークレットキーはサーバーのみに、webhook署名は検証されている。
13. OpenAI、Anthropic、xAI のAPIキーがフロントエンドコードに決して置かれていない。常に自社のAPI経由でプロキシされている。
14. ソース内のどこにも（コメントや未使用コードを含む）ハードコードされたAPIキー、データベースURL、資格情報がない。
15. シークレットはローンチ後、またはソース履歴で露出した場合にローテーションされる。

APIの堅牢化（10項目）

データベース（6項目）

26. RLSがすべてのテーブルで強制されている。anonロールは、明示的なポリシーで許可されない限り、どのテーブルでもSELECT/INSERT/UPDATE/DELETEができない。
27. 公開anonロールはデフォルトでゼロの権限を持つ。ポリシーは必要なものだけを許可する。公開リストには読み取り専用で、書き込みは決してしない。
28. サービスロールキーはサーバー側コードでのみ使用される。確認：grep -r "service_role" src/。フロントエンドファイルではゼロ件が返るべき。
29. ユーザーデータの分離：クエリは常に auth.uid() または team_id でフィルターする。全ユーザーにわたる全レコードを返すクエリがない。
30. ソフトデリート（is_deletedフラグ）またはアーカイブテーブルにより、偶発的なデータ損失を防ぐ。ハードデリートは実行者＋タイムスタンプ付きでログに記録される。
31. データベースのバックアップが存在し、テスト済みである。このローンチ前にバックアップから復元できることを確認している。

フロントエンド（8項目）

32. DOMPurifyによるサニタイズなしの dangerouslySetInnerHTML や innerHTML がない。コードベース内のすべてのインスタンスを監査する。
33. すべてのnpm/pip/gem依存関係が既知のCVEについてスキャンされている。ローンチ前に npm audit、pnpm audit、または npx osv-scanner --lockfile=package-lock.json を実行し、KNOWN-VULNERABLE-VERSIONS.md で特定のバージョンを確認する。npm audit は公開済みのCVEは検出するが、悪意のあるパッケージは検出しないため。
34. コンテンツセキュリティポリシー（CSP）が本番で有効になっている（strict-dynamic、unsafe-inlineなし）。最初にステージングでテストする。
35. 本番で /api/debug、/admin/backdoor、内部テストエンドポイントにアクセスできない。"debug"、"mock"、"test-only" ルートを grep する。
36. X-Frame-Options: DENY が設定されている。すべてのレスポンスでヘッダーが送信されることを確認する（クリックジャッキング防止）。
37. 本番のエラーメッセージが内部パス、スタックトレース、データベーススキーマを漏洩しない。404、500、権限エラーをテストする。
38. プロトタイプ汚染がない：ユーザー提供のオブジェクトがサニタイズなしにアプリケーションオブジェクトにマージされない。
39. React：サニタイズされていないユーザーデータを含むインラインイベントハンドラーがない。HTMLとしてレンダリングされるユーザーコンテンツには react-dompurify または同等のものを使う。

AIとLLM（10項目）

これらは、昔ながらのWebアプリのプレイブックにはなかったチェック項目です。OWASP Top 10 for LLM Applications に対応しており、2026年版（2026年8月3日リリース、6,639件の実インシデントデータで重み付けされた初の版）では Excessive Agency が #6 から #3 に移動し、Agent Hijacking、Multi-Modal Injection、Memory Persistence が追加されました。以下のエージェント関連項目はもはや理論上の話ではありません。

vibe-coding-security

人気