GovAppsプラグイン 安全性を確認できる無料kintoneプラグイン集
無料のkintoneプラグインは便利ですが、「どこと通信しているか分からない」「ソースコードが 非公開でブラックボックス」という理由で、自治体や企業の情報システム部門が導入をためらう ケースは少なくありません。この記事では、プラグインを導入する前に確認したいセキュリティ チェックポイントを6つにまとめ、実際のプラグインでの確認例とあわせて紹介します。
kintoneのプラグインは、レコード画面やプラグイン設定画面で動作するJavaScriptです。 実行できる範囲が広い分、外部サーバーへ勝手に通信したり、入力値をそのままHTMLとして 出力してXSS(クロスサイトスクリプティング)の脆弱性を生んだりするリスクも理論上は あります。ソースコードが非公開のプラグインでは、これらを利用者側で確認する手段が ありません。だからこそ、導入前にチェックすべきポイントを知っておくことが重要です。
| # | 確認ポイント | 何を見るか |
|---|---|---|
| 1 | 外部通信先 | kintone以外のサーバーと通信しているか。している場合、どこと・何のために通信しているかが明記されているか |
| 2 | 認証情報の保存場所 | APIキー・パスワードを使う場合、平文で誰でも見える場所に保存していないか(kintoneには秘匿領域に保存する専用の仕組みがあります) |
| 3 | XSS対策 | innerHTMLを使わず、textContent/createElementだけで画面を組み立てているか(入力値をそのままHTMLとして出力していないか) |
| 4 | ソースコードの公開 | GitHub等でソースコードが全公開されており、第三者が中身を確認できるか |
| 5 | 権限制御の実態 | ボタンの表示/非表示のような画面上の制御と、実際のレコード編集・削除権限(kintone本体の権限設定)が別物であることが説明されているか |
| 6 | 大量リクエストへの配慮 | 一括処理系の機能で、短時間に大量のAPIリクエストを送信しない設計(逐次実行・上限件数など)になっているか |
GovAppsのプラグインは、上記6つのポイントすべてを個別ページの 「セキュリティレビュー結果サマリ」に掲載しています。すべて無料・広告なし・ ソースコード全公開で、実際にどう対応しているかを自分の目で確認できます。
kintone.plugin.app.setProxyConfig()という秘匿領域に保存し、設定画面を開き直しても再表示されません。無料プラグイン配布サイトの中でも、ここまで確認可能性を重視しているのはGovAppsの特徴です。 個別ページの「セキュリティレビュー結果サマリ」アコーディオンから、実際のチェック項目・ 確認日を一覧できます。