ギガワタス週次セキュリティ診断レポート 2026-09-14

ギガワタスでは、お客様に安心して大容量ファイルをお送りいただくため、毎週、自動セキュリティ診断を実施し、その概要を公開しています。

エグゼクティブサマリー

• 診断日: 2026-09-14
• 診断対象: バックエンド（Go）/ フロントエンド（React, TypeScript）/ 依存パッケージ / Docker構成
• 使用ツール: gosec / npm audit / osv-scanner / OWASP Top 10 観点での確認
• 総合評価: 本番環境で対応が必要な重大な脆弱性は確認されていません（改善項目は計画的に対応中）

1. 今週のハイライト

今週も、保存時の暗号化・ウイルススキャン・レート制限・認証管理といった主要な安全対策が稼働していることを確認しました。あわせて、ダウンロード時の処理を国際規格に沿って厳格化する改善を反映しました。

• 解決: 2026-09-12 ダウンロード時にファイル名を伝えるHTTPヘッダーを国際規格（RFC 6266）に沿った形式に統一し、制御文字を確実に取り除く処理を追加
• 解決: 2026-09-08 著者情報・運営体制の表示を整備し、情報発信の信頼性を強化
• 継続: フロントエンドのビルド・開発系ツールチェーンに含まれる依存パッケージに更新対象があることを確認（利用者のブラウザで動くコードには含まれません）。影響範囲と優先度を精査したうえで計画的に反映します
• 継続: 静的解析の指摘のうち、疑陽性・運用非影響のものを除外し、本番影響のある観点から順次改善

2. 主な安全対策

実装に沿って、対象範囲を明記しています。

• 保存時の暗号化（保管先のクラウドストレージで、すべてのファイルを AES-256 により暗号化）
• アップロードファイルのウイルススキャン（対象は500MB以下かつ動画・音声以外のファイル。範囲外についてはセキュリティページで説明）
• 検出ファイルの検疫管理と、検出履歴・判定結果の台帳記録
• 不正アクセス・総当たり攻撃を防ぐレート制限
• 危険な拡張子を持つファイルのアップロード検出
• 通信の暗号化（HTTPS・HSTS）
• 認証トークンの安全な管理（短期アクセストークン + リフレッシュトークンのローテーション + 失効管理、認証コード入力の試行回数制限）
• ログイン試行・管理者操作の監査ログ記録と、CSVエクスポート時の数式インジェクション対策

3. 継続的な取り組み（改善履歴）

主な改善履歴（本番環境への反映日・新しい順）:

• 2026-09-12: ダウンロード時にファイル名を伝えるHTTPヘッダーを国際規格（RFC 6266）に沿った形式に統一し、制御文字の除去を徹底
• 2026-09-08: 著者情報・運営体制の表示を整備し、情報発信の信頼性を強化
• 2026-09-06: 通信・ネットワークに関するセキュリティ説明ページを整備
• 2026-09-04: 送信ポリシーに「既定の保存期間」「既定のダウンロード回数」を追加
• 2026-09-03: 送信履歴（チーム）の閲覧範囲をオーナー・管理者に限定するポリシーを追加
• 2026-09-03: 管理者向け操作ログのポリシー変更サマリーの記録項目を拡充
• 2026-09-01: バックエンドのランタイムを更新し、暗号処理・データベースドライバの既知脆弱性を解消
• 2026-08-29: 法人向けポリシー（ワンタイムログイン・ダウンロード回数上限など）が、すべてのログイン経路・設定変更の経路で同じように適用されるよう統一
• 2026-08-29: メールアドレスの大文字小文字を統一し、アカウント一意性の取り扱いを厳密化
• 2026-08-27: 検疫対象ファイルの保持期間を独立ポリシーとし、共有期限の影響を受けず定められた期間確実に保全

4. 総評

ギガワタスでは、保存時の暗号化・ウイルススキャン・通信の暗号化・レート制限・監査ログといった多層的な安全対策を継続して運用しています。今週は、ダウンロード時のHTTPヘッダーを国際規格に沿って厳格化したほか、著者情報の整備など透明性向上の取り組みを反映しました。

フロントエンドのビルド・開発系ツールチェーンの依存パッケージには更新対象があり、影響範囲と優先度を精査したうえで計画的に反映してまいります（利用者のブラウザで動くコードには含まれません）。お客様のデータを安全にお預かりするため、今後も毎週の自動診断と継続的な改善を続けてまいります。

本レポートは、ツールによる自動診断（AI評価）を基に、運営者が実装と照らし合わせて確認したうえで公開しています。
診断頻度：毎週月曜日早朝