セキュリティ

Securityは、アプリのコードを読んで、脆弱性や危険な設定を探します。Manageを開き、Securityを開いてください。

2つのスキャン

どちらもクレジットがかかり、料金はボタンの横に、最後に実行された日時とともに書かれています。概要のSecurityタイルを押すと、まだスキャンが実行されていなければクイックスキャンが始まり、そのクレジットを使います。Out of dateは、その後にコードが変わったことを意味します。前回のスキャンから、コードにもコンテキストにも変更がないときは、ページにそう表示されます。

クイックスキャンのScan on publishは、コードが変わった公開のたびに、同じ料金で自動的に実行します。オンにするまではオフです。Publishのウィンドウにも同じスイッチがあります。ウェブに公開するをご覧ください。

見つかったもの

Detected issuesには、それぞれの問題が、どれくらい深刻か、どこにあるか、何をすべきかとともに表示されます。

• Send to chat to fixは、修正をチャットに入れるので、読んで送信します。Fix all in chatは、すべての問題についてそれを一度に行います。
• 問題が誰でも読めるコレクションの場合は、Require sign-inまたはClose to your teamで、コードを変更せずにその場で閉じられます。誰が何を見られるかをご覧ください。
• 修正のあとは、問題が再び確認され、一覧には、なくなったものとまだ残っているものが表示されます。

「No issues found」は、スキャンが何も見つけなかったという意味です。スキャンはコードを読んでよくある間違いを探すので、すべてのリスクを否定できるわけではありません。

コンテキストを追加する

スキャナーが知っているのは、コードだけです。右上のAdd contextで、コードからはわからないことを伝えます。アプリが何のためのものか、誰が使うか、どんなデータを持つか、何が意図的なものか、です。

A shop for a bakery. Customers order without an account. We store names,
phone numbers and addresses for delivery. The menu and prices are public on purpose.

これがあれば、公開されたメニューは情報漏えいとして報告されず、住所つきの注文は非公開のデータとして確認されます。

ライブラリ

ReactやSupabaseなど、すべてのアプリが動くために使うライブラリは、Setherionが管理し、リリースのたびに既知のセキュリティ上の問題がないか確認されます。あなたが更新するものはありません。カードにはNo known issuesと、最後に確認された日付が表示されます。

常に有効なもの

保護の一部は、スキャンを待ちません。

• アプリのコードに書かれたシークレットキーは、公開されることがありません。スキャンの結果にかかわらず、公開は無料で拒否され、メッセージにはキーの種類、ファイル、行が示されます。一般的なAI、決済、メール、メッセージング、コードホスティングのサービスのキー、秘密鍵、Supabaseプロジェクトの管理者キーを認識します。Supabaseのanonキーや、Stripeの公開可能キーのように、もともと公開されるキーは対象外です。
• 接続したサービスのキーは、Setherionのサーバーに置かれたままで、公開したアプリはSetherionを通して呼び出します。
• レコードを読めるのは、それを保存した本人とあなたのチームだけです。アクセスルールで開くまで、そのままです。
• すべてのビルドと変更は、あなたに見える前に見えないところで開かれ、クラッシュした場合は修復のために戻されます。公開される前にをご覧ください。
• Businessでは、アプリを非公開にでき、ワークスペースのログインした人だけが開けるようになります。公開範囲をご覧ください。
• アプリが送るメールは、多くがバウンスしたりスパムとして報告されたりすると、自動的に止まります。メールをご覧ください。