kintoneのテンプレート・プラグイン診断
そのkintoneアプリ、
運用前に診断を。
テンプレートやプラグインのファイルから、
コードに潜むリスクを確認します。
- 無料
- 期限なし
- 1つの組織につき月10回まで
運用前の確認に
AIで作ったカスタマイズにも、
運用前の確認を。
動くことと、安全に使えることは別です。
ブラウザーで動くJavaScriptには、確認しておきたい点があります。
参考：サイボウズ「生成AIを利用したkintoneカスタマイズの注意点とレビュー観点」（新しいタブで開きます）
コードに残った
APIキーやパスワード利用者から見えるコードに、認証情報が残っていないか。
入力内容を安全に
扱っていない画面表示入力内容をHTMLとして、安全に扱っているか。
既知の脆弱性がある
ライブラリ利用しているライブラリに、報告済みの問題がないか。
サイボウズの公開ガイドラインを参考に、ファイルから確認できる項目を診断します。
FILE DIAGNOSIS
テンプレートも、
プラグインも。
危険な書き方、埋め込まれたパスワードやトークン、
依存パッケージの既知の脆弱性などを確認します。
テンプレート簡易診断
アプリテンプレート（.zip）・スペーステンプレート（.sptpl）に含まれるJavaScriptやCSS、外部への通信先を確認します。
プラグイン診断
プラグインのZIPに対応。配布用の形式も診断できます。コードの危険な書き方、秘密情報の埋め込み、依存パッケージを確認します。
結果を、次の確認につなげる。
指摘の内容と、見つかったファイルや箇所を確認できます。結果の区分を手がかりに、作成元や管理者へ確認してください。
- 要対応
- 重大度が高い指摘です。使う前に内容を確認し、作成元へ修正を相談してください。
- 要確認
- 使い方や目的と照らし合わせて確認する指摘です。意図した処理か、作成元へ確認してください。
- 情報
- 外部への通信先や、ブラウザーへの保存などの情報です。業務で利用してよい内容か確認する材料になります。
- 確認できなかった項目
- 圧縮されたコードなど、検査しきれなかった内容です。「問題なし」とは扱わず、別途確認してください。
ファイルから確認できる範囲を診断するサービスです。見逃しや誤検出があり、検出がない場合も安全性を保証するものではありません。
診断結果のサンプル
指摘の場所と、次の確認。
架空の案件管理アプリを含むスペーステンプレートを診断した例です。
- 要対応1件
- 要確認0件
- 情報0件
- 確認できなかった項目1件
この指摘で確認すること
危険なHTML文字列挿入
画面へ表示するHTMLを安全に扱っていない可能性があります。
- 見つかった場所
- アプリ「案件管理」のPC用JavaScript「sample.js」 2行目
- 考えられる影響
- 不正な表示や、利用者が意図しない操作につながるおそれがあります。
- 次にすること
- このアプリの開発担当者へ確認を依頼してください。
確認できなかった項目も、そのまま表示します。
このサンプルでは、次の項目を確認できませんでした。
ファイルとして組み込んだライブラリに既知の脆弱性があるかは、確認していません（URLで読み込むよく使われるライブラリは、URLの版から確認しています）。
指摘がない場合も安全性を保証するものではありません。診断結果を、開発担当者へ確認する材料としてお使いください。
HOW TO USE
登録して、添付して、結果を見る。
登録してメールを承認
登録後に届くメールのURLを開き、承認画面で「承認する」を押します。
ファイルを添付
ダッシュボードで.zip・.sptplのファイルを添付。種類は中身から自動判定します。
結果を確認
完了をメールでお知らせ。診断の詳細はコンソールで確認できます。
ファイルの取り扱い
アップロードされたコードは実行しません。ファイルの検査は、外部と通信できない環境で行います。
ファイルと診断結果の保存期間は最大7日です。必要な結果は期間内に確認してください。
AIによる補足説明を選ぶ場合
「AIによる用途の推定と見解も作る」は任意です。選んだ診断に限り、指摘箇所の前後のコード（小さいファイルは全文）・アプリ名・フィールド名をOpenAI社へ送ります。選ばなかった診断では送りません。
送信前にパスワードやAPIキーらしい値を伏せますが、すべての秘密情報を伏せられることを保証するものではありません。AIの見解は参考情報であり、検査の区分・重大度・件数は変わりません。詳しくは利用条件とプライバシーポリシーをご確認ください。
FAQ
始める前によくある質問
無料で何回診断できますか？
無料・期限なしで、1つの組織につき月10回まで診断できます。回数は利用者ごとではなく組織単位です。
どのファイルを添付できますか？
kintoneのアプリテンプレート（.zip）・スペーステンプレート（.sptpl）・プラグイン（.zip）に対応しています。1ファイル50MBまで添付できます。ファイルの種類は中身から自動判定します。一般の文書や、任意のZIPすべてを診断するサービスではありません。
kintoneのアカウントやログイン情報の登録は必要ですか？
ファイル診断のために、kintoneのアカウントやログイン情報をSecureへ登録する必要はありません。Secureのアカウントと診断するファイルを用意してください。kintoneからテンプレートを書き出す操作には、kintone側の権限が必要です。
アップロードした情報は、AIの学習に使われますか？
Secureでは、アップロードされたファイルをAIの学習に使いません。任意のAI補足説明にはOpenAI APIを利用しており、OpenAIの方針ではAPIのデータは既定でモデルの学習に使われません。学習利用と外部送信・保存は別です。送信時は応答を保存しない設定を指定しますが、OpenAI側の不正利用監視等に伴う保持までなくなるとは限りません。
ファイルや診断結果は、いつまで保存されますか？
ファイル・診断結果・詳細エラーは最大7日間保持した後、自動的に削除します。必要な結果は保存期間内に確認してください。任意のAI補足説明で外部へ送る情報の扱いは、AIに関する回答もご確認ください。
指摘がなければ、安全に使えると考えてよいですか？
安全性を保証するものではありません。見逃しや誤検出があり、ファイルから確認できないリスクもあります。結果は運用判断の材料として使い、必要に応じて開発担当者によるレビューや実環境の確認を行ってください。
まずは、1つのファイルから。
無料・期限なしで、kintoneのファイル診断を始められます。
現在は無料サービスのみ提供しています。今後、より高度な診断機能を有料で提供する予定です。提供時期・内容・料金は、決まり次第お知らせします。