レポートは実際にこう見えます

最初に直すべきこと

この3つの数字は、本レポート全体で見つかった問題の件数です。上のバーが数えているのは別のもので、決まった一覧のうち何項目の検査が実行され、そのうち何項目が問題なしだったかです。問題ありとなった検査1件が、ここでは複数の問題になることもあります。また下の章のいくつかは、その一覧にそもそも含まれていません。したがって両者の合計は一致しない前提です。

• 6 重大
• 6 要対応
• 16 注意

1. 重大：button-nameこれは axe が報告した不具合です。axe は、表示後のページを WCAG ガイドラインに照らして検査する自動アクセシビリティチェッカーです。一件ごとに、スクリーンリーダーやキーボードだけ、あるいは弱視でページを使う人が、ここで具体的な支障にぶつかることを意味します。深刻度の語は axe 自身の判定で、critical はたいてい作業そのものを完了できないこと、minor は使いにくさがあることを表します。自動チェックが拾えるのは、実際の利用者にとっての問題の一部にすぎないので、これらは上限ではなく最低ラインと考えてください。問題のある要素が具体的に挙がっているぶん、多くは作り直しではなくピンポイントの修正で済むので、まず手をつける価値があります。
2. 重大：labelこれは axe が報告した不具合です。axe は、表示後のページを WCAG ガイドラインに照らして検査する自動アクセシビリティチェッカーです。一件ごとに、スクリーンリーダーやキーボードだけ、あるいは弱視でページを使う人が、ここで具体的な支障にぶつかることを意味します。深刻度の語は axe 自身の判定で、critical はたいてい作業そのものを完了できないこと、minor は使いにくさがあることを表します。自動チェックが拾えるのは、実際の利用者にとっての問題の一部にすぎないので、これらは上限ではなく最低ラインと考えてください。問題のある要素が具体的に挙がっているぶん、多くは作り直しではなくピンポイントの修正で済むので、まず手をつける価値があります。
3. 重大：Content-Security-PolicyCSP(Content-Security-Policy)とは、サーバーがページに付ける短い指示で、ブラウザがスクリプト、スタイル、埋め込みフレームをどこから読み込んでよいかを列挙するものです。これがないと、もし何かがページにスクリプトを注入した場合(コメント欄、URL のパラメーター、あるいは提供元が乗っ取られた外部ウィジェット経由など)、ブラウザはそれを疑わずに実行します。ポリシーがあれば、そうした一つのミスがそこで封じ込められるか、それともページ上のすべてを読み取られてしまうかが分かれます。まずは report-only モードで導入できるので、何が必要かを見極めるあいだ、サイトを壊す心配はありません。
4. 重大：Strict-Transport-SecurityHSTS(Strict-Transport-Security)とは、このサイトには常に暗号化された通信でしか接続しないよう、そして一定期間それを覚えておくよう、ブラウザに伝える一行の指示です。これがないと、訪問者の最初のリクエスト、たとえばドメインを入力したり古い http のリンクをたどったりしたときのリクエストは、リダイレクトが効く前に暗号化されないまま送り出されます。そしてその最初のリクエストこそ、同じネットワーク上の誰かが傍受できるものです。リダイレクトだけではこの隙間をふさげませんが、このヘッダーならふさげます。
5. 重大：Stripe publishable key認証情報のような形をした文字列、つまり API キー、アクセストークン、パスワードのようなものが、このページが配信する JavaScript ファイルの中に見つかりました。すべての訪問者がそのファイルをダウンロードするので、もしそれが本当に有効なキーなら、他に何が守っていようと、開発者ツールを開く人にとっては秘密ではありません。中には誤検出もあります(公開してよいキー、テスト用の値、そもそも見えることを意図した値など)。だからこそ、伏せ字にした抜粋はこのレポートの中にとどめ、他のどのツールにもコピーして持ち出しません。これが有効かどうかを確認してください。もし有効なら、確実に効く対処は、その行を削除することではなく、キーを差し替えることだけだからです。
6. 重大：Analytics write key認証情報のような形をした文字列、つまり API キー、アクセストークン、パスワードのようなものが、このページが配信する JavaScript ファイルの中に見つかりました。すべての訪問者がそのファイルをダウンロードするので、もしそれが本当に有効なキーなら、他に何が守っていようと、開発者ツールを開く人にとっては秘密ではありません。中には誤検出もあります(公開してよいキー、テスト用の値、そもそも見えることを意図した値など)。だからこそ、伏せ字にした抜粋はこのレポートの中にとどめ、他のどのツールにもコピーして持ち出しません。これが有効かどうかを確認してください。もし有効なら、確実に効く対処は、その行を削除することではなく、キーを差し替えることだけだからです。
7. 要確認：color-contrastこれは axe が報告した不具合です。axe は、表示後のページを WCAG ガイドラインに照らして検査する自動アクセシビリティチェッカーです。一件ごとに、スクリーンリーダーやキーボードだけ、あるいは弱視でページを使う人が、ここで具体的な支障にぶつかることを意味します。深刻度の語は axe 自身の判定で、critical はたいてい作業そのものを完了できないこと、minor は使いにくさがあることを表します。自動チェックが拾えるのは、実際の利用者にとっての問題の一部にすぎないので、これらは上限ではなく最低ラインと考えてください。問題のある要素が具体的に挙がっているぶん、多くは作り直しではなくピンポイントの修正で済むので、まず手をつける価値があります。
8. 要確認：プライバシーポリシーへのリンクこのスキャンは、プライバシーポリシーにつながるリンクを探して、このページのすべてのリンクを調べましたが、見つかりませんでした。プライバシーポリシーとは、訪問者について何を収集し、それをどう扱うかを説明する文書です。確認したい訪問者にはその手段がなく、アプリストアや広告プラットフォーム、決済事業者は、これを示せないサイトのアカウントをしばしば拒否したり停止したりします。このチェックが見たのは渡されたページだけなので、ポリシーが別の場所にすでにある場合、修正はフッターにリンクを一つ足すだけで済むはずです。
9. 要確認：クリックジャッキング対策(X-Frame-Optionsまたはframe-ancestors)このページには、他のウェブサイトがこのページをフレーム(相手のページに埋め込む窓)の中に読み込んでよいかどうかを、ブラウザに伝えるものがありません。これはクリックジャッキングを許してしまいます。クリックジャッキングとは、誰かがこの本物のページを自分のボタンの上に透明に重ね、訪問者が別のものをクリックしているつもりで実際にはこちらのページを操作してしまう手口です。ログイン後の操作など乗っ取る価値のある動作があるページでは特に問題になり、静的な案内ページではさほど問題になりません。ただ、どちらにせよ修正はヘッダーを一つ足すだけなので、開けたままにしておく理由はほとんどありません。
10. 要確認：X-Content-Type-Options: nosniffこれは、サーバーが宣言したファイルの種類を、中身から推測せずにそのまま信頼するよう、ブラウザに伝える一行の指示です。これがないと、ブラウザは、プレーンテキストやユーザーのアップロードとして配信したものを、実は JavaScript や HTML だと判断して実行することがあります。これが、一見無害なアップロードが実行可能なコードに変わる仕組みです。設定する値は決まっていて、サイトごとに考えることは何もなく、何かを壊す可能性もほぼないため、このレポート全体の中でも最も手軽な項目の一つです。
11. 要確認：Referrer-Policy がすべてのオリジンに完全な URL を送信しています(unsafe-url)Referrer-Policy は、このページのアドレスをブラウザが他のサイトにどこまで明かすかを制御しますが、現在の設定は、パスやクエリ文字列を含むアドレス全体を、あらゆる送信先に渡す値になっています。もし URL のどれかに、パスワード再設定のトークン、検索語、顧客 ID、注文番号などが含まれていれば、その値は、ページ上のすべての解析・広告スクリプトを含め、第三者に渡っています。これは、単にポリシーがない場合よりも重く評価されます。ヘッダーが存在したうえで、情報を漏らす挙動を積極的に選んでいるからです。修正は一語を変えるだけです。
12. 要確認：CookieのSecure属性Cookie とは、あなたのサイトがブラウザに保存させ、訪問のたびに送り返させる小さなデータで、多くの場合、ログイン状態を保つトークンなどです。そのうち少なくとも一つが Secure 属性なしで設定されています。これは、ブラウザがそれを暗号化されていない通信でも送ってよいと判断することを意味し、その経路上の同じネットワークにいる誰もが読み取れてしまいます。該当する Cookie 名は根拠として一覧に挙げてあります。修正は、それぞれを設定している箇所に一つオプションを足すだけです。

16 件の指摘が、以下の各セクションにあります