セキュリティ

安全なアプリケーションを構築することは、ユーザーと X プラットフォームの双方を保護するうえで重要です。このガイドでは、X API 開発者にとって不可欠なセキュリティ対策について説明します。

コア要件

TLS が必須

すべての API リクエストは HTTPS を使用する必要があります。平文の HTTP は拒否されます。

認証情報のセキュリティ

API キーやトークンをクライアントサイドのコード、ログ、リポジトリで決して公開しないでください。

認証情報の保護

API key やトークンはあなたの App への「鍵」です。次の点に注意して安全に管理してください:

環境変数を使用する

認証情報はコード内ではなく環境変数に保存します。

export X_API_KEY="your-api-key"
export X_API_SECRET="your-api-secret"

シークレットを絶対にコミットしない

認証情報ファイルを .gitignore に追加します。git-secrets のようなツールを使って、誤ってコミットしてしまうことを防ぎます。

定期的にローテーションする

キーは定期的に、また侵害が疑われる場合には直ちに再発行します。

最小限の権限にとどめる

App が実際に必要とする OAuth スコープのみをリクエストします。

認証情報が漏えいした場合

開発者コンソールでただちに再生成する
古いトークンを失効させる — 再生成により古い認証情報は自動的に無効化される
利用状況を監査する — 不正な API アクティビティがないか確認する
アプリを更新する — すべての環境に新しい認証情報をデプロイする

アプリケーションのセキュリティ

入力検証

ユーザーからの入力を決して信用しないでください。使用する前に、すべてのデータを必ず検証し、サニタイズしてください。

# 悪い例 - インジェクション攻撃に対して脆弱
query = f"from:{user_input}"

# 良い例 - 最初に入力を検証
import re
if re.match(r'^[a-zA-Z0-9_]{1,15}$', user_input):
    query = f"from:{user_input}"

出力のエンコード

XSS を防ぐために、HTML に出力する前に X API のデータをエスケープしてください。

// 悪い例 - XSSに対して脆弱
element.innerHTML = tweet.text;

// 良い例 - HTMLをエスケープ
element.textContent = tweet.text;

防ぐべき代表的な脆弱性

脆弱性	対策
XSS	レンダリング前に、ユーザーが生成したコンテンツをすべてエスケープする
CSRF	フォームで CSRF 対策用トークンを使用し、OAuth の state パラメータを検証する
SQL Injection	パラメータ化されたクエリを使用し、ユーザー入力を決して連結しない
Open redirects	コールバック URL を許可リストと照合して検証する

OAuth セキュリティ

state パラメータ

CSRF を防ぐため、OAuth フローでは常に state パラメータを使用してください。

import secrets

# 認可前にstateを生成
state = secrets.token_urlsafe(32)
session['oauth_state'] = state

# コールバック後にstateを検証
if request.args.get('state') != session.get('oauth_state'):
    abort(403)  # stateの不一致 - CSRF攻撃の可能性

トークンの保存

トークンの種類	保存先の推奨
Access tokens	暗号化されたデータベースまたはセキュアなボルト
Refresh tokens	追加のアクセス制御を施した暗号化されたデータベース
Bearer tokens	環境変数またはセキュアな設定

セキュアな開発プラクティス