IPA「安全なウェブサイトの作り方」への回答

独立行政法人情報処理推進機構（IPA）「安全なウェブサイトの作り方改訂第7版」で挙げられている 11種の脆弱性区分について、Pipelia の実装状況を回答したものです。チェックリスト回答の一覧に戻る／全体方針はセキュリティ・信頼性への取り組みをご覧ください。

No.	脆弱性の区分	当サービスの対応
1	SQLインジェクション	データベースへのクエリは全てプレースホルダ（バインド変数）で実装し、文字列連結でSQL文を組み立てていません。エラーメッセージはそのまま画面に表示せず、汎用の文言を返します。データベースの権限も必要最小限に設定しています。
2	OSコマンド・インジェクション	該当なし。サーバーレス基盤（Cloudflare Workers）上で動作し、シェルを起動する言語機能を一切使用していません。
3	パス名パラメータの未チェック／ディレクトリ・トラバーサル	該当なし。データはデータベース（D1）でのみ扱い、外部からのパラメータでサーバー内のファイル名を指定する処理がありません（ファイルシステムへアクセスしません）。
4	セッション管理の不備	セッションは署名付きトークン（JWT）で管理し、推測は困難です。トークンをURLに含めず、ログイン成功後は新しい世代のトークンを発行します（パスワード変更時に旧セッションを一括失効）。※Cookieではなくリクエストヘッダ（Bearer）方式のため、Cookieのsecure属性は該当しません。トークンは厳格なCSPで保護されています。
5	クロスサイト・スクリプティング（XSS）	画面に出力する全ての値をフレームワーク（Vue）が自動エスケープします。表示するURLは http/https のみ許可し、Content-Security-Policy で外部スクリプトの読み込みを遮断、レスポンスに文字コード（charset）を明示しています。
6	CSRF（クロスサイト・リクエスト・フォージェリ）	認証はリクエストヘッダのトークン（Bearer）で行い、Cookieを使用しないため、CSRFは構造的に発生しません。加えて、パスワード変更・二段階認証の変更など重要な操作は、登録メールアドレスへ自動で通知します。
7	HTTPヘッダ・インジェクション	HTTPヘッダの出力はフレームワーク（Hono）のヘッダ出力APIを通じて行い、外部入力を直接ヘッダに書き出しません。
8	メールヘッダ・インジェクション	メール送信は送信サービスのAPI（Cloudflare Email Service／Gmail API）経由で行い、宛先・件名・本文を構造化して渡します（生のメールヘッダに外部入力を直接書き込みません）。宛先はメールアドレスの形式を検証しています。
9	クリックジャッキング	HTTPレスポンスに X-Frame-Options: DENY と Content-Security-Policy（frame-ancestors 'none'）を出力し、他ドメインからのフレーム読み込みを禁止しています。
10	バッファオーバーフロー	該当なし。メモリ安全な言語（TypeScript／JavaScript）で実装しており、直接メモリを操作する処理がありません。
11	アクセス制御や認可制御の欠落	パスワード（＋任意で二段階認証）による認証機能を設けています。認可制御として、全APIリクエストで所属組織を検証し、画面単位のロール（非表示／閲覧／編集）を適用します。他の利用者・他組織のデータにはアクセスできません。

※ 上表は根本的解決を中心に記載しています。個別のチェックシート様式へのご記入が必要な場合はinfo@pipelia.com までお送りください。