Webサービスで「ユーザーページに独自ドメインを登録できる」機能を提供するのがなぜ難しいか
コンテンツ投稿系のWebサービスでは「ユーザーのページに好きな独自ドメインを登録できる」という機能をつけたくなることがあります。ユーザーからすると「コンテンツが自分自身の所有物であること」を感じやすいですし、コンテンツのポータビリティが上がりますし、とても夢がありますよね。僕もいつか実装してみたい機能のひとつです。 しかし、この機能を提供するには、以下のようなハードルがあります。 料金 ベンダーロックイン 複雑な実装（とくに認証） (1)の料金についてはデプロイ先によります。例えばVercelであればProプラン以上であれば無制限に独自ドメインを登録できます（Unlimited custom domains for all Pro teams）。 Google Cloudの場合にはCertificate Managerで独自ドメインごとの証明書を管理するのに「ひとつあたり○USD」という感
Cookieの新しい属性、SameParty属性について - ASnoKaze blog
ChromeでCookieのSameParty属性の開発が進められている (コミット)。 現在のところ「SameParty cookie attribute explainer」に説明が書かれている。 今回は、CookieのSameParty属性について簡単にメモしていく。 背景 トラッキング対策、プライバシーの観点でサードパーティクッキーは制限する方向に進んでいる。その制限をSame Partyの場合に緩和する仕組みを提供するのがSameParty属性の話である。 例えば、同一主体により運営されているドメインの異なるサイト (例えば、google.co.jp, google.co.uk) 間においては、いわゆる(cross-site contextsで送られる)サードパーティクッキーを許可しようという話です。 もともとは、First-Party Setsを活用しSameSite属性にFi
SPAのログイン認証のベストプラクティスがわからなかったのでわりと網羅的に研究してみた〜JWT or Session どっち？〜 - Qiita
SPAのログイン認証のベストプラクティスがわからなかったのでわりと網羅的に研究してみた〜JWT or Session どっち？〜JavaScriptRailsJWT認証React SPAのログイン周りについて、「これがベストプラクティスだ！」という情報があまり見当たらないので、様々な可能性を模索してみました。 いろいろな状況が想定され、今回記載する内容に考慮の漏れや不備などがありましたら是非コメントでご指摘いただきたいです！特に「おすすめ度：○」と記載しているものに対しての批判をどしどしお待ちしております！ この記事でおすすめしているものであっても、ご自身の責任で十分な検討・検証の上で選択されてください。 前提 想定しているAPIは、 ログイン外のAPIにはPOST/PUT/DELETEのものがなく、GETのみ GETのAPIにはDBを更新するなどの操作がない とし、そのためログイン外では
【PHP超入門】Cookieとセッションについて - Qiita
Udemy で講座の販売を開始しました！ Udemy で「プログラミング学習の心得＆HTTPの基礎」の動画講座を公開しました。 特別に 85% OFFのクーポンを発行します。 通常価格 10,800 円が 1,800 円で購入できます。 動画内でも説明していますが、初心者・初学者向けの内容です。 事前に自分の知りたい内容・興味のある内容か確認してからご購入ください。 挫折した人が教える PHP プログラミングシリーズ Vol.1『学習の歩き方』 はじめに PHPでメールフォームや掲示板などWebアプリケーションを作りたいと考えている方は、Cookieとセッションについて必ず理解しておく必要があります。 Cookieとセッションは、ユーザーを識別するために欠かせない技術で、非常に重要な役割をしております。 ここを理解すれば、作りたいWebアプリケーションに一歩前進しますので、Cookieとセ
牧歌的 Cookie の終焉 | blog.jxck.io
Intro Cookie は、ブラウザに一度保存すれば、次からその値を自動的に送ってくるという、非常に都合の良い仕様から始まった。 State Less が基本だった Web にセッションの概念をもたらし、今ではこれが無ければ実現できないユースケースの方が多い。 冷静に考えればふざけてるとして思えないヘッダ名からもわかるように、当初はこのヘッダがこんなに重宝され、 Web のあり方を変えるかもしれないくらい重要な議論を巻き起こすことになるとは、最初の実装者も思ってなかっただろう。 そんな Cookie が今どう使われ、 3rd Party Cookie (3rdPC) の何が問題になっているのかを踏まえ、これからどうなっていくのかについて考える。 Cookie のユースケース Web にある API の中でも Cookie はいくつかの点で特異な挙動をする 一度保存すれば、次から自動で送る
最新のブラウザで変わるCookieの取り扱いやPrivacyの考え方
2020/02/13 DevSumi 発表資料
Chrome 80が密かに呼び寄せる地獄 ～ SameSite属性のデフォルト変更を調べてみた - Qiita
Chrome 79以下や他ブラウザのデフォルト値。 Chrome 80からこの値を設定する場合、Secure属性も必須となる。 Aサイトに対し、Bサイトからどのようなリクエストがあっても、発行したサイトでCookieヘッダーに含める (Cookieを使用する) 図にすると以下のようになります。 Strict 外部サイトからのアクセスではCookieを送らない。 Lax 外部サイトからのアクセスはGETリクエストのときだけCookieを送る。 None 従来通りの動き。 【追記】なおChrome 80以降でSecure属性を付けずSameSite=Noneを指定した場合、set-cookie自体が無効になります。 セキュリティ上の効果 CSRF対策になります。 CSRF (クロスサイト・リクエスト・フォージェリ) とは、 WEBサイトがユーザー本人の意図した動作であることを検証していないため
いったい何が進化した？ ITP2.0 - とりもち
2018年6月にアメリカ・サンフランシスコで行われたApple（アップル）の開発者向けイベント「WWDC 2018」で、ITPのセキュリティ機能をさらに強化したITP2.0の実装が発表されました。ユーザのプライバシーをより考慮した仕様になっています。従来のITP1.0とは「何が違うのか？」、「どう変化したのか？」という点について詳しく解説します。 こちらもオススメ Appleユーザ必読！サファリの新機能ITPでcookieの動作が変わる ITP2.1の登場 ～サードパーティだけでなくファーストパーティクッキーにも影響？～ ITP2.2がやって来る! クロスドメインでの計測結果に影響有り？ ローカルストレージも制限対象！ アップデートされたITP2.3のおさらい ITPとは ITPとはIntelligent Tracking Preventionの略で、Appleの標準ブラウザであるSafa
ITP2.1の影響と対策方法のまとめ、JavaScript生成cookie7日間問題 | marketechlabo
ITPの仕様 次々と新しいバージョンがリリースされるITP。微妙にアップデートされ、仕様がわかりにくくなっているので現時点で最新のものを解説する。 ITPの目的と概要 われわれウェブサイト運用者は cookieやローカルストレージなどを使ってブラウザにドメインのデータを保持し、 それらのデータを必要に応じてツール間で連携する ことによって行動計測やコンテンツの出し分けなどのマーケティング活動を行っている。ITPはウェブサイト訪問者のプライバシー保持のためにそれを制限する仕組みである。具体的に何をやっているのかざっくりまとめると、 この3つのケースにおいて cookieなどを使ったデータ保持が短期間しかできなくなる（期間の長さはケースごとそれぞれ異なる） リファラが使い物にならなくなる 可能性があるということである。その結果 コンバージョントラッキングができない リマーケティング広告が配信で
ITP2.2(Intelligent Tracking Prevention)とその影響について
アクセルマーク システム開発本部の佐野です。 Apple社の公式発表で、iOS12.3 / macOS10.14.5 Mojaveからのバージョンで、Safariブラウザにて、ITP2.2にアップデートされると発表がありました。 つい先日、3月26日に、ITP2.1がリリースされましたが、 1ヶ月も経たないうちに、ITP2.2が発表されました。 非常に早いスピードで、ITPがアップデートされていますね。 ちなみに、ITP2.1のアップデート時は、以下の内容が更新されました。 ・ javascriptが扱えるcookieは、7日間までになる。 ・トラッキング判断された3rd party cookieは、すぐ無効化される。 ・トラッキング拒否機能(DNT)を削除する。 参照 “Intelligent Tracking Prevention 2.1”.WebKit. https://webkit
Cookie の性質を利用した攻撃と Same Site Cookie の効果 | blog.jxck.io
Intro Cookie はブラウザによって保存され、紐づいたドメインへのリクエストに自動で付与される。 この挙動によって Web におけるセッション管理が実現されている一方、これを悪用した攻撃方法として、 CSRF や Timing Attack などが数多く知られており、個別に対策がなされてきた。 現在、提案実装されている SameSite Cookie は、そもそもの Cookie の挙動を変更し、こうした問題を根本的に解決すると期待されている。 Cookie の挙動とそれを用いた攻撃、そして Same Site Cookie について解説する。 Cookie の挙動 Cookie は、 Set-Cookie によって提供したドメインと紐づけてブラウザに保存され、同じドメインへのリクエストに自動的に付与される。 最も使われる場面は、ユーザの識別子となるランダムな値を SessionI
「サードパーティーCookie」は“悪”なのか？ 私がSafariを使う理由 (1/2) - ITmedia NEWS
「サードパーティーCookie」は“悪”なのか？ 私がSafariを使う理由：ITりてらしぃのすゝめ（1/2 ページ） 私は最近、macOSで使うWebブラウザを「Google Chrome」からAppleの「Safari」に変えました。スマホはiPhoneなので、モバイルでもPCでもSafariを使っています。 現在のWebブラウザのシェアはChromeが圧倒的です。ネットの歴史を見ても、最大のシェアを持つWebブラウザに最適化されたWebサイトが主流になるのは当たり前でしょう。とはいえ、現在ではInternet Explorer（IE）のような異端なブラウザはあまりなく、ブラウザによって極端に仕組みを変える必要もないことから、SafariでもほとんどのWebサイトを問題なく閲覧できます。 ところが、Safariだとうまく動かないサイトもいくつかあります。そして、これはプライバシーを考慮
2018年中にサードパーティCookieが無効でもWebサービスが正常に動作するか確認を | スラド IT
10月23日にリリースされたFirefox 63ではユーザーの追跡などに使われるサードパーティCookieをブロックする設定が追加された（マイナビニュース）。現時点ではサーバー側にトラッカーをブロックする意思を伝える「Do Not Track」信号を送るだけだが、2019年初めにはサードパーティCookieのブロックをデフォルトで有効にする方針だという。 この設定で毎日のブラウジングを（トラッキングなどの不動作を気にせず、サービス利用者としてみて）正常に行うために、3つサービスで計9つのドメインを例外サイトとして許可している。（もう1つ正常に動作しないサービスがあるのだが、どのドメインを許可すれば正常に動作するのかわからない）。
FuelPHPのSessionクラスで4KB制限のエラーが出た時の対処方法｜アド･エータイプ スタッフブログ
PHPのフレームワーク「FuelPHP」を使用した時の開発メモです。 FuelPHPでSessionクラスを使用した時に下記のエラーが表示されました。 Fuel\Core\FuelException [ Error ]: The session data stored by the application in the cookie exceeds 4Kb. Select a different session storage driver. これはセッションに保存するデータの容量が4KBを超えているというエラーです。 FuelPHPではセッションの保存先がデフォルトでクッキーに保存されるようになっております。 なので4KB以上のデータを保存する際に制限がかかってしまいます。 しかし、開発を行なっていると大きいデータを保存したいという場合も出てくると思います。 FuelPHPのSessio
GoogleAnalyticsのCookieは、なぜサードパーティCookieではなく、ファーストパーティCookieなのか？
トップ コラムGoogleAnalyticsのCookieは、なぜサードパーティCookieではなく、ファーストパーティCookieなのか？ ブログをご覧頂いている皆さん、こんにちはニコライです。Nexalではテクニカルエンジニアとして勤めています。技術的な観点から、皆さんの業務にお役立て頂けそうな情報を更新して参ります。今後とも宜しくお願いします。 初投稿のお題は、GoogleAnalyticsのCookieについてです。 公式ヘルプによると、GoogleAnalyticsではアクセス解析の仕組みとしてCookieを利用しており、且つそれはファーストパーティCookieであると謳われています。ただ、これには合点がいかない方も多くおられるようです。「Googleのサーバと通信しているのだから、サードパティではないのか？なぜファーストパーティ？」という疑念があるからです。以下が公式ヘルプの一
404
File Not Found アクセスしようとしたページは 見つかりませんでした。 以下のような原因が考えられます。 記事が削除された URLが間違っている
ブラウザのプライバシーモードを無視してしまう「スーパークッキー」とは？
ウェブサイトを閲覧するにはInternet ExplorerやGoogle Chrome、Firefox、Safariなどのウェブブラウザを使用する必要があり、これらのウェブブラウザにはプライバシー情報を保護するためにブラウジング時の履歴やCookie(クッキー)、一時ファイルなどを残さないプライバシーモードが存在します。しかし、プライバシーモードを使用してもこれらの機能を無視してユーザーの行動をトラッキングしてしまう「スーパークッキー」という手法が新たに生み出されました。 Browsing in privacy mode? Super Cookies can track you anyway | Ars Technica http://arstechnica.com/security/2015/01/browsing-in-privacy-mode-super-cookies-can-t
HTTPSを使ってもCookieの改変は防げないことを実験で試してみた
寺田さんのブログエントリ「他人のCookieを操作する」には、通信路上の攻撃者がいる場合は、SSLを使っても、Cookieの盗聴を防ぐことはできるが、Cookieの改変を防ぐことはできないと指摘されています。いかにも寺田さんらしい簡にして要を得たエントリで、これに付け加えることはあまりないのですが、残念ながらまだ読んでいない人が多そうだと言うことと、より広い読者に向けて具体的に説明した方がよいだろうと考えました。 そこで、通信路上に攻撃者がいる典型例として、公衆無線LANの偽AP（アクセスポイント）があるケースを題材として、「HTTPSを使ってもCookieの改変は防げない」ことを説明します（Secure属性使うと盗聴は防げますが、改変は防げません）。長いエントリなので結論を先に書いておきます。 Secure属性がないCookieはHTTPSでも盗聴できる Cookieの改変についてはSe
ログアウト機能の目的と実現方法
このエントリでは、Webアプリケーションにおけるログアウト機能に関連して、その目的と実現方法について説明します。 議論の前提 このエントリでは、認証方式として、いわゆるフォーム認証を前提としています。フォーム認証は俗な言い方かもしれませんが、HTMLフォームでIDとパスワードの入力フォームを作成し、その入力値をアプリケーション側で検証する認証方式のことです。IDとパスワードの入力は最初の1回ですませたいため、通常はCookieを用いて認証状態を保持します。ログアウト機能とは、保持された認証状態を破棄して、認証していない状態に戻すことです。 Cookieを用いた認証状態保持 前述のように、認証状態の保持にはCookieを用いることが一般的ですが、Cookieに auth=1 とか、userid=tokumaru などのように、ログイン状態を「そのまま」Cookieに保持すると脆弱性になります
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SPAセキュリティ入門～PHP Conference Japan 2021 | ドクセル
