セキュリティ
LPIC.cc はサービス設計の初日から、セキュリティとプライバシーを後付けではなく中核原則として扱ってきました。以下は本番環境で継続的に稼働している対策の概要です。
中核となるセキュリティ対策
全通信を HTTPS で暗号化
すべての接続を HTTPS（TLS 1.2 以上）に強制し、長期 HSTS を有効化しているため、ブラウザは平文へのフォールバックを拒否します。通信は端から端まで暗号化され、経路上の攻撃者に盗聴・改ざんされる余地はありません。
bcrypt によるパスワードハッシュ
ユーザーが設定した共有パスワードは、業界標準である bcrypt の一方向ハッシュとして保存されます。当社のサーバーでも元のパスワードを復元することはできず、平文のパスワードがシステム内に存在することは一切ありません。
ファイルの自動期限切れ
アップロードされたファイルは最終閲覧から 30 日間保持されます。期限が過ぎると共有リンクは即座に無効化され、ファイルは削除キューに入ります。手動での整理は不要で、期限切れのファイルには誰もアクセスできません。
短期有効な署名付きアップロード URL
アップロード時にサーバーは有効期限の短い署名付き URL を発行し、ブラウザはクラウドオブジェクトストレージへ直接ファイルを送信します。URL はすぐに失効し再利用も不可能なため、不正アップロードを防ぎます。
厳格な Content Security Policy
デフォルトですべての外部リソースを遮断し、必要最小限のオリジンのみをホワイトリスト化。X-Frame-Options と Referrer-Policy ヘッダーを併用することで、XSS・クリックジャッキング・リファラー漏洩の攻撃面を最小化しています。
多層レート制限
ログイン・アップロード・パスワード検証などの機密エンドポイントにレート制限を設け、異常を検知すると即座にクールダウンします。ブルートフォースや自動化攻撃をブロックしつつ、通常利用には影響を与えません。
Cloudflare Turnstile による摩擦ゼロの Bot 対策
主要フォームには Cloudflare Turnstile を組み込み、デバイス情報と行動シグナルをバックグラウンドで分析して人間と Bot を判別します。画像パズルは不要で、ユーザーに負担をかけません。
IP アドレスのマスキングログ
完全な IP アドレスが保存されることはありません。分析ログやセキュリティログに書き込む前にマスクを適用し（例：1.2.3.***）、生の IP はリアルタイム防御の判定に必要な一瞬だけメモリ上に存在し、その後破棄されます。これによりログ漏洩時の二次被害を抑えます。
追加のセキュリティ対策
| 対策 | 内容 |
|---|---|
| パラメータ化クエリ | すべてのデータベースクエリはパラメータバインディングを採用し、SQL Injection の攻撃面を根本から排除しています。 |
| 入力バリデーション | API エンドポイントは schema 検証（required、min、max、email など）を必須とし、不正な入力はビジネスロジックに到達する前に拒否されます。 |
| CSRF 対策 | 状態を変更するすべてのリクエストに独立した CSRF Token の検証を要求し、Cookie には HttpOnly + Secure + SameSite=Strict を付与してクロスサイトフォージェリを遮断します。 |
| 厳格な CORS ポリシー | API を呼び出せるのは公式ドメインのみで、許可されていないオリジンからの呼び出しはすべて拒否します。 |
| Cloudflare による DDoS 緩和 | エッジノードが異常トラフィックを自動検知し、オリジンサーバーに到達する前に緩和します。 |
| 機密項目のマスキングログ | ログフレームワークが IP・Token・パスワードなどの機密項目をデフォルトでマスク。万が一ログが漏洩しても、機密値そのものは含まれません。 |
責任ある情報開示
LPIC.cc のセキュリティ脆弱性を発見された場合は、[email protected] 宛に非公開でご連絡ください。当方は以下を約束します：
- 報告を受領後 48 時間以内に確認のご連絡をします。
- 善意のセキュリティ研究者に対して法的措置を取ることはありません。
- 修正リリース後、ご希望であれば本ページで公開の謝辞を掲載します。
他のユーザーへの影響を避けるため、本番環境に対する自動スキャンや負荷テストはお控えください。
最終更新日：2026年4月21日