Security posture

このサイトの守り方。

ポートフォリオの閲覧にアカウント登録は不要です。訪問者向けにCookie、トラッキング、外部スクリプトは使っていません。

脅威モデル（要約）

COOKIES
0
DB_QUERIES
0
TRACKING_PIXELS
0
THIRD_PARTY_SCRIPTS
0
USER_ACCOUNTS
0
HEADERS_SERVED
22

アプリ側では訪問者の記録を保持しません。ホスティング基盤のアクセスログの保存期間は運用設定に依存します。

多層防御（断面図）

  1. L1EDGE (VERCEL OR CADDY)requests are first judged here
  2. L2HTTP HEADERS22 declared, applied per route
  3. L3CSProute-specific policies
  4. L4METHOD FILTER405 for verbs this site never implements
  5. L5STATIC + NODEportfolio pages + server-rendered 404
  6. L6DATAno accounts, no database, no visitor records

ほとんどは静的ページですが、404ページとミドルウェアにはサーバー側の処理があります。これらも検証対象です。

HTTP防御ヘッダー（実物）

以下は vercel.json に定義されたヘッダーを実物どおりに掲載したものです。同じマニフェストがセルフホスト構成でもCaddyとアプリ内ミドルウェアによって適用されます。

/(.*)

Strict-Transport-Security
max-age=63072000; includeSubDomains; preload
X-Content-Type-Options
nosniff
X-Frame-Options
DENY
Referrer-Policy
no-referrer
Cross-Origin-Opener-Policy
same-origin
Cross-Origin-Resource-Policy
same-origin
Cross-Origin-Embedder-Policy
credentialless
Origin-Agent-Cluster
?1
X-Permitted-Cross-Domain-Policies
none
X-XSS-Protection
0
X-DNS-Prefetch-Control
off
Permissions-Policy
accelerometer=(), ambient-light-sensor=(), aria-notify=(), autoplay=(), battery=(), bluetooth=(), browsing-topics=(), camera=(), captured-surface-control=(), compute-pressure=(), cross-origin-isolated=(), deferred-fetch=(), deferred-fetch-minimal=(), display-capture=(), document-domain=(), encrypted-media=(), fullscreen=(), gamepad=(), geolocation=(), gyroscope=(), hid=(), identity-credentials-get=(), idle-detection=(), interest-cohort=(), join-ad-interest-group=(), keyboard-map=(), local-fonts=(), magnetometer=(), microphone=(), midi=(), otp-credentials=(), payment=(), picture-in-picture=(), publickey-credentials-create=(), publickey-credentials-get=(), run-ad-auction=(), screen-wake-lock=(), serial=(), shared-storage=(), speaker-selection=(), storage-access=(), synced-reading=(), usb=(), unload=(), web-share=(), window-management=(), xr-spatial-tracking=()
X-Security-Contact
https://harukakaya.dev/.well-known/security.txt

/((?!(?:keystatic|api/keystatic)(?:/|$)).*)

Content-Security-Policy
default-src 'self'; script-src 'self'; style-src 'self' https://fonts.googleapis.com; style-src-attr 'unsafe-inline'; font-src 'self' https://fonts.gstatic.com; img-src 'self' data:; connect-src 'self'; media-src 'self'; worker-src 'self'; manifest-src 'self'; frame-src 'none'; child-src 'none'; frame-ancestors 'none'; base-uri 'self'; form-action 'self'; object-src 'none'; block-all-mixed-content; upgrade-insecure-requests

/keystatic/:path*

X-Robots-Tag
noindex, nofollow
Cache-Control
no-store
Content-Security-Policy
default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: blob: https://avatars.githubusercontent.com https://raw.githubusercontent.com; font-src 'self' data:; connect-src 'self' https://api.github.com https://raw.githubusercontent.com; worker-src 'self' blob:; frame-ancestors 'none'; base-uri 'self'; form-action 'self' https://github.com; object-src 'none'; upgrade-insecure-requests

/api/keystatic/:path*

X-Robots-Tag
noindex, nofollow
Cache-Control
no-store
Content-Security-Policy
default-src 'none'; frame-ancestors 'none'; base-uri 'none'; form-action 'self' https://github.com

/.well-known/security.txt

Content-Type
text/plain; charset=utf-8
Cache-Control
public, max-age=86400

脆弱性を発見した方へ

このサイトで脆弱性を発見した場合は、再現手順と影響を添えてsecurity.txtの連絡先へご報告ください。

security.txt を読む

殿堂入り

このサイトで脆弱性を見つけ、ここに名を刻んだ研究者の一覧:

（意図的に空白）