脆弱性チェック

プロジェクトに登録した Web サイトの URL に対して、セキュリティ上の問題を自動的に検出する機能です。AI コーディングツールの普及により Web アプリケーションのセキュリティリスクが高まる中、開発サイクルの中でセキュリティチェックを手軽に実施できます。

主な特徴

• 14 種類のセキュリティチェックを非同期で自動実行
• 各チェック結果に日本語・英語の説明・原因・推奨対策を表示
• スキャン実行から完了まで数秒〜十数秒でリアルタイムに進捗更新
• レポートを Markdown・CSV でダウンロード、PDF 印刷に対応
• AI エージェントから MCP ツール経由でレポートを参照可能

チェック項目一覧

ドメイン認証

安全のため、脆弱性チェックは 利用者自身が所有権を証明したドメイン に対してのみ実行できます。無許可の第三者ドメインへスキャンを行えてしまうことを防ぐため、ターゲットの登録・変更・スキャン実行のいずれのタイミングでも、対象 URL のドメインが認証済みかどうかが確認されます。これはリリース前から登録済みのターゲットにも適用されるため、心当たりのないドメインでスキャンが拒否された場合は、まずドメインの認証状況をご確認ください。

1. ドメインを登録する — ターゲット一覧画面右上の 認証済みドメイン管理 から専用画面を開き、ドメインを追加 でドメイン名（例: example.com）を入力します。URL 形式で入力してもホスト名部分のみが自動的に取り出されます。

2. DNS に TXT レコードを設置する — 登録すると次の内容の TXT レコードが表示されるので、ご利用の DNS 管理サービス側で設定します。

   項目	値
   レコード種別	TXT
   レコード名	_katatan-challenge.<登録したドメイン>
   レコード値	katatan-domain-verify=<発行されたトークン>

3. 今すぐ認証確認を実行する — DNS 設定後、一覧画面の 今すぐ認証確認 をクリックすると即座に結果が返ります。DNS の反映には数分〜数時間かかることがあるため、直後に失敗した場合は設定内容を確認しつつ時間を置いて再度お試しください。

4. スキャン対象として利用できるようになる — 認証済みになると、そのドメインおよび配下のサブドメイン（例: app.example.com）がターゲット登録・スキャンの対象として利用できるようになります。

ドメイン認証は プロジェクト単位 で管理されます。同じワークスペース内でも、別プロジェクトでスキャンする場合は改めて同じドメインを登録・認証する必要があります。

使い方

1. ターゲットを登録する — プロジェクトのサイドバーから 脆弱性チェック を選択し、+ 新規スキャンターゲット でターゲット名・URL を入力して登録します（対象ドメインは事前に認証済みである必要があります）。
2. スキャンを実行する — ターゲット一覧の スキャン開始 アイコンをクリックすると非同期でスキャンが始まります。進行中はステータスが自動更新されます。
3. レポートを確認する — スキャン完了後、ターゲット名をクリックするとレポート一覧に遷移します。詳細 から各チェック項目の検出結果・原因・推奨対策を確認できます。
4. （応用）認証が必要なサイトをスキャンする — ターゲットの 設定 画面からカスタム HTTP ヘッダーを設定できます。APIトークンなどの機密値は シークレット として暗号化保存し、ヘッダー値として参照できます。

権限