フロントエンドアプリの認証付きスキャン

このガイドでは、Aikidoで認証付きドメインスキャンを設定する手順を説明し、保護されたエリアも含めた徹底的かつ安全な評価を実現します。

この機能は Free プランではご利用いただけません。

Step 1: Domains Overview に移動し、対象ドメインの3つの点をクリックしてアクションメニューを開きます。Authenticate Domain を選択します。

スキャン、設定、認証、削除のオプションがあるドメインのアクションメニュー。

Step 2: ドメイン認証用のURLとメールアドレス/パスワードを入力します。Test をクリックすると、Aikidoがそれらの認証情報でドメインにアクセスできるかを確認します。

ログイン認証情報と確認オプションを含む、ドメイン向けのフォームベース認証設定。

Step 3. テストが成功したら、Confirm Authentication をクリックします。Aikidoが徹底的なスキャンを実行し、すべての結果がAikido上に表示されます。

スキャン用の認証情報はPKCS1暗号化を用いて安全に保存されます

認証オプション

フォームによるログイン

ドメイン認証用のURLとメールアドレス/パスワードを入力します。Test をクリックすると、Aikidoがそれらの認証情報でドメインにアクセスできるかを確認します。

二要素認証が有効な場合は、ワンタイムパスワードの情報も入力できます。OTP URLの詳細とその仕組みについては、こちらのドキュメントをご覧ください。

フォームベースのログイン認証情報を設定するドメイン認証画面。

Aikidoは以下のルールに従ってフォーム送信を試みます。

カスタムヘッダー

エンドポイントが作成後に変化しない固定のキー、Cookie、トークンを受け付ける場合、このオプションでカスタムヘッダーとして追加できます。

ユースケース:

Cookie: Cookie ヘッダーを設定します。
```
Cookie: sessionId=38afes7a8
```
JWT Bearerトークン: Authorization ヘッダーを設定します
```
Authorization: Bearer <token>
```

AIエージェントによるログイン（ベータ版）

AIエージェントはLLMを使用して実際のブラウザセッションを制御します。人間が操作するのと同じように、指定した手順に従って認証プロセスを完了します。以下のようなケースに特に有効です。

認証情報や必要な操作を含む、明確なステップバイステップの手順を提供してください。エージェントは、詳細な設定を必要とせずにリダイレクトや動的なページ、中間ステップに対応できます。ほとんどの場合、短くシンプルな指示だけで十分です。

Aikidoスキャナーは、ユーザー名とパスワードのフィールドを判定するために、固定の識別子セットを使用します。メールアドレスまたはユーザー名フィールドのidまたはnameパラメータが、以下のいずれかの値になっていることを確認してください。

"email", "username", "Username", "login-email", "EmailOrUsername",
"UserNameOrEmail", "username_login", "txtUsername", "user_email", "email-input'

パスワードフィールドは、password型の入力フィールドを検索して見つけられます。

input[type="password"]

送信ボタンは、type submitを持つボタンまたは入力フィールドを検索して見つけられます。

button[type="submit"]
input[type="submit"]

それでも問題が解決しない場合は、遠慮なくサポートまでご連絡ください。