AOGERA — Web Application & API Assessment
アプリに鍵を埋めない。
サーバーで、毎回確かめる。
Web アプリと API の穴は、端末の設定では見つかりません。 攻撃者はアプリを手元に落として解析し、サーバー側の認可の甘さや、 アプリに埋め込まれた鍵を探します。 AOGERA は、その解析に耐えられる作りになっているかを、 13 項目で実測します。
なぜ、端末の診断では足りないのか
2026年10月15日、JPCERT/CC が「連続不正アクセス事案の攻撃手法に関する調査」を公表しました。そこで確認された事実が、この商品の出発点です。
攻撃者はAI を使って既知の脆弱性のスキャンや API 経由の攻撃を実施していた。
攻撃元サーバーに複数の APK ファイルと、アプリ解析ツール（jadx、Blutter）関連ファイルがあった。
攻撃者が APK を解析し、API に SSRF などの脆弱性がないか調べていた痕跡があった。
JPCERT/CC の結論 ── 解析は攻撃者の端末内で行われるため、防御側からは検知も遮断もできない。
だから、防御は2つに絞られます。解析されても壊れない作りにすること、そして 悪用の実行段階を検知すること。AOGERA は、この2つを診断します。
| 観点 | YAMADORI（PC・端末） | AOGERA（Web アプリ・API） |
|---|---|---|
| 守る対象 | PC・端末・社内ネットワーク | Web アプリ・API・サーバー実装 |
| 比喩 | 森の奥の鳥 | 森の番人（穴を探して突く） |
| 作業 | 設定を読む | 穴を突く（診断する） |
| 範囲 | 12 経路 | API・認証・権限・秘密鍵・レート制限 |
| サーバー側の権限チェック | 見ない | 診断する |
| アプリに埋め込まれた鍵 | 見ない | 検出する |
| 公開前の自社アプリ診断 | 対象外 | これが主目的 |
13 項目の診断
3つの層に分かれています。読み取りのみで、本番サーバーに負荷をかける検査は行いません。
認証がサーバー側で行われているか
アプリ側の画面表示だけで「ログイン済み」を判断していないか。サーバーが毎回、資格情報を検証しているか。
アクセスしてきた人が、そのデータを見てよい人の確認
リクエストのたびに、対象データの所有者・権限を確認しているか。画面側の制御だけに頼っていないか。
アプリ・APK に埋め込まれた鍵の検出
APIキー・秘密鍵・内部 URL・内部情報が、配布物に含まれていないか。サーバー用の鍵がアプリに入っていないか。
内部情報の露出
エラー時に、内部パス・スタックトレース・DB の構造が返っていないか。
API の公開範囲
管理画面・内部 API が、外部から到達できないか。認証なしで叩ける管理系のエンドポイントがないか。
SSRF の余地
外部から URL を渡せる箇所で、内部ネットワークやクラウドのメタデータに到達できないか。
認可の欠落（IDOR）
他人の ID を指定したときに、他人のデータが取得できないか。連番 ID の推測可能性も含む。
レート制限の有無
短時間の大量アクセスを止められるか。API 全体と、認証エンドポイントの両方を見る。
認証試行の制限
パスワード総当たりへの対策。ロックアウト、遅延、CAPTCHA のいずれかが機能しているか。
異常アクセスの記録
誰がいつ何を叩いたかが残るか。記録が無ければ、侵害後に何も説明できない。
パッチ適用状況
利用しているミドルウェア・ライブラリの既知 CVE との照合。HAYABUSA と連携します。
TLS の設定
古いプロトコル・弱い暗号が有効になっていないか。
HTTP セキュリティヘッダ
CSP・HSTS・X-Frame-Options・X-Content-Type-Options など、ブラウザ側の防御が設定されているか。
実際の出力
整形も誇張もしません。当社自身のサイトを診断した結果を、そのまま掲載します。 13 項目のうち 7 項目を「判定不能」と返しているのが、このツールの正直さです。
OK / 5項目
鍵の埋め込み・内部情報の露出・API の公開範囲・TLS・セキュリティヘッダ。外部から確かめられる範囲は、すべて問題なし。
NOTICE / 1項目
レート制限。Cloudflare 配下だが閾値の設定が無い。無料枠で設定できます。
判定不能 / 7項目
認可・SSRF・IDOR・認証試行制限・ログ・パッチ状況。外部からは見えません。設計レビューで確認します。
なぜ「判定不能」を返すのか。 検出ゼロを「安全」と報告するスキャナは数多くあります。しかし、認可の実装や所有者確認の有無は、 外部からのアクセスでは確かめられません。確かめられないものを「問題なし」と書くのは、 診断ではなく願望です。当サービスは、見えていないものを、見えていないと書きます。
守備範囲
YAMADORI との補完関係を明確にします。同じ顧客に、2つを別々に売れる設計です。
AOGERA がやること
- Web アプリ・API の設計と実装の診断
- サーバー側の認証・認可の確認
- 配布物に埋め込まれた鍵の検出
- SSRF・IDOR の余地の確認
- レート制限・認証試行制限の確認
- TLS・HTTP セキュリティヘッダの確認
- 既知 CVE との照合（HAYABUSA 連携）
- 公開前チェックと、定期点検
AOGERA がやらないこと
- PC・端末の設定診断（YAMADORI の領域）
- 社内ネットワークの棚卸（YAMADORI の領域）
- 実際の攻撃・侵入テスト（原則行わない）
- 本番サーバーへの負荷をかける検査
- DB の中身の棚卸（確認手順のみ提供）
- 「絶対に安全」の保証
- ゼロデイ（未知の脆弱性）の検出
- 侵害後の復旧作業そのもの
4つの商品で、4つの層を守る
AOGERA は「アプリケーション層」を担当します。単体でも、組み合わせても使えます。
AOGERA
アプリ・API
設計と実装の穴。認可・秘密鍵・SSRF・レート制限。今回の商品。
YAMADORI
PC・端末
12 経路の設定診断。社内ネットワークの棚卸。
HAYABUSA
ランタイム
既知 CVE への該当判定。パッチ公開から3分。
FUKURO
運用
試行の検知と封じ込め。7 ルール・24 時間。
料金
YAMADORI と同じ体系です。公開前チェックから始められます。
Inspection
¥49,800/1回
- 1 アプリ + API の 13 項目診断
- 配布物の鍵の検出
- 認可・SSRF の確認
- レポート（PDF + 修正手順）
- 修正後の再検査 1回
- メールでの質問 2往復
※ 表示価格は税別です。
※ 複数アプリの場合は、2件目以降 ¥39,800 / 件で承ります。
※ 診断は読み取りのみで実施します。負荷をかける検査は行いません。
※ 診断項目の判定基準・検査実装は非開示です。
よくあるご質問
YAMADORI と何が違うのですか。
YAMADORI は PC・端末・社内ネットワークの設定を診断します。AOGERA は Web アプリと API の設計・実装を診断します。守る対象が別であり、同じ顧客に両方をお勧めする場面があります。たとえば「PC の設定は固まっているが、自社で作った API の認可が甘い」という企業は、AOGERA が必要です。
なぜ、アプリの解析を前提にするのですか。
JPCERT/CC が 2026年10月15日に公表した調査で、攻撃者が APK を解析して API の脆弱性を探していた痕跡が確認されています。解析は攻撃者の端末内で行われるため、防御側からは検知も遮断もできません。したがって「解析される前提で、解析されても壊れない作りになっているか」を確認する必要があります。
ソースコードを渡す必要がありますか。
不要です。外部から観測できる範囲（URL・API・レスポンスヘッダ・エラーの挙動・レート制限の有無）で診断します。配布物（APK・JS バンドル）に鍵が埋まっていないかの確認は、公開されている配布物を対象に行います。ソースの提供が必要なのは、設計レビューを明示的にご依頼いただいた場合のみです。
攻撃テストはしてもらえますか。
原則として行いません。本番サービスへの攻撃テストは、サービス停止や意図しないデータ操作のリスクがあります。当サービスは読み取りのみの診断です。どうしても必要であれば、別途、許可範囲・時間帯・中止条件を定めた契約のもとでご相談します。
「指摘がなければ安全」ですか。
いいえ。当サービスが確認するのは、13 項目の設計・実装の観点です。未知の脆弱性、業務ロジック固有の欠陥、外部サービス側の問題は対象外です。指摘が無いことは、今回の観点で問題が見つからなかったという意味であり、安全性の保証ではありません。
診断でサービスが止まることはありませんか。
通常の診断では止まりません。読み取りのみの確認で、大量リクエストや書き込みを行う検査はしません。レート制限の確認は、極めて低い頻度で実施します。事前にご了承いただいた上で行います。
情報処理安全確保支援士の署名はありますか。
ありません。当サービスは登録セキスペによる監査ではなく、実測ツールによる診断と手順の提示です。士業の署名が必要な調達要件がある場合は、提携先をご紹介しますのでご相談ください。
公開前に、一度だけ。
1 URL・API 1本の公開前チェックを無料で行います。料金のご案内は、結果をお渡しした後です。
無料チェックを申し込む件名に「AOGERA 公開前チェックの申込」とご記入ください。3営業日以内に返信します。