すべてのカテゴリ

バニラのHTML（いわゆる“静的サイト”）は、サーバー側の処理やデータベースを持たないぶん、攻撃面が少なく比較的安全と言われます。しかし、安全なのは「正しく運用できている場合」に限られます。実際には、CDN・外部スクリプト・フォームサービス・解析タグ・デプロイ手順など“周辺”が弱いと、静的でも十分に狙われます。本稿では、静的サイト特有の脅威と、今日の運用で必須の対策を体系的にまとめます。まずは脅威モデルを理解するサプライチェーンのリスク外部CDNのライブラリ、広告・解析タグ、SNS埋め込みなど、第三者のコードがページで実行されます。改ざん・乗っ取り・なりすましが起きると、ユーザーのブラウザで被害が発生します。配信経路・ホスティングのリスクHTTPS・証明書・DNS・CDN設定・SFTP/SSH鍵の管理が甘いと、盗聴・改ざん・乗っ取りに繋がります。コンテンツ差し替え・改ざんGitやストレージ、ビルド成果物、サーバー上のファイルに不正アクセスされると、静的ファイルでも容易に置き換えられます。埋め込み・リンク由来のリスクtarget=_blank のタブナビング、危険なiframe埋め込み、無制限のCORSなど、フロントエンド設定の不備から攻撃されます。プライバシー・法令順守不要なデータ収集、クッキー同意無しのトラッキング、誤ったログ保持などは法令・規約に抵触しやすく、ビジネス上の重大リスクです。技術設定まわりの必須対策（静的サイトでも“今は必須”）常時HTTPS化と強制リダイレクトすべてのページをHTTPSで配信し、HTTPへ来たアクセスはHTTPSへ自動リダイレクトする運用にしま