Aikidoでのフロントエンドアプリドメインのスキャン
Quick Scan は、CSPヘッダー、Cookie、JWTの問題、既知のCVEを持つ公開されているライブラリなど、フロントエンドアプリのセキュリティベストプラクティスを高速かつ非侵襲的にチェックします。公開ドメインに対するデフォルトの出発点となるスキャンです。
Quick ScanはDynamic Application Security Testing（DAST）に分類されます。ソースコードに一切触れることなく、ソフトウェアの外部に公開されているコンポーネント（Webページ、ヘッダー、Cookie、転送されるデータ、サードパーティライブラリ）を検査します。
ユースケース
Section titled “ユースケース”- 🔍 セキュリティベストプラクティス: WebアプリがHTTPS、HSTS、CSP、X-Frame-Optionsなどのweb security baselineを満たしていることを確認します。
- 🔒 認証まわりの衛生管理: JWTの問題や弱いCookie属性（Secure、HttpOnly、SameSite）などの認証設定の不備を、悪用される前に検出します。
- 📦 脆弱なライブラリの検出: ページ上で読み込まれているフロントエンドライブラリのうち、既知のCVEを持つものを特定します。
- 🔁 継続的なカバレッジ: 自動的に再スキャンを行い、新しいデプロイによって発生したリグレッションを迅速に検出します。
- ✅ コンプライアンスの証明: 外部公開アプリが標準や顧客に求められる基本的なWebセキュリティ衛生を満たしていることを証明します。
Quick Scanがチェックする項目
Section titled “Quick Scanがチェックする項目”実行されるチェックの概要
Section titled “実行されるチェックの概要”Quick Scanで実行されるチェックについては、チェック一覧ページをご覧ください。スキャン中に実行されるすべてのチェックの詳細な一覧を確認できます。Aikidoは安全で非破壊的な自動テストのみを実行します（自動SQLインジェクション攻撃などは行いません）。
検出されたライブラリの概要
Section titled “検出されたライブラリの概要”Quick Scanで検出されたすべてのライブラリの一覧を確認するには、対象ドメインの Resources タブをご覧ください。検出された各リソースについて、ライブラリ名、バージョン、検出日時、URLを確認できます。使用中のリソースでCVEが見つかった場合、他の脆弱性と同様にフィードに追加されます。
手順1: Domains Overview Page または Domains Settings に移動し、Add Domain をクリックして Quick Scan を選択します
手順2: 設定フォームに入力し、公開ドメインを持つリポジトリのサービスURLを入力します。完全なパスを指定することもできます。
手順3（任意）: ドメインをリポジトリまたはコンテナにリンクします
手順4（任意）: データの機密度を設定します
手順5（任意）: ドメインにログインが必要な場合は認証を設定します。ドメインのアクションメニューを開き、Authenticate Domain を選択します。サポートされている認証方法の一覧については、フロントエンドアプリの認証付きスキャンをご覧ください。