SERIES 連載「事故から逆算するWebセキュリティ」全50回 2026年に実際に起きた漏えい・不正アクセスと、そのとき開発者のあいだで交わされた議論を入口に、Webアプリの守り方を1回1テーマで整理する連載。 1パスワードのハッシュ化と暗号化の違い2暗号鍵の置き場所——HSM・KMS・ハードコードで守れる範囲準備中3IDは連番かUUIDか——推測されにくさと認可は別の話準備中4IDOR（認可漏れ）の見つけ方準備中5MITRE ATT&CK v20 が加えた生成AIの攻撃技術準備中6AIエージェントに渡す権限の設計準備中7開発用クラウドの認証情報が入口になる準備中8シークレットスキャンの入れ方準備中9APIの不正利用とレート制限準備中10リスト型攻撃とパスワードの使い回し準備中11多要素認証とパスキー準備中12セッション管理とCookieの属性準備中13SSRF——サーバーに内側を叩かせる攻撃準備中14依存パッケージの脆弱性管理準備中15WAFと仮想パッチで時間を稼ぐ準備中16監査ログの設計——事故のあとに調べられるか準備中17ダークウェブの販売告知の読み方準備中18漏えいしたときの報告義務と第一報準備中19セキュリティレビューと脆弱性診断の違い準備中20XSSと出力時のエスケープ、CSP準備中21CSRFとSameSiteの今準備中22SQLインジェクションとORMの落とし穴準備中23ファイルアップロードの検証準備中24パストラバーサル準備中25OSコマンドインジェクション準備中26安全でないデシリアライゼーション準備中27オープンリダイレクト準備中28CORSの設定ミス準備中29JWTの落とし穴準備中30OAuth・OIDCの実装ミス準備中31パスワードリセットの設計準備中32アカウント列挙とエラーメッセージ準備中33管理画面の守り方準備中34マルチテナントのデータ分離準備中35バックアップとランサムウェア準備中36開発・ステージング環境の公開事故準備中37クラウドストレージの公開設定準備中38CI/CDとGitHub Actionsの権限準備中39コンテナとカーネル——ホストを直すのは誰か準備中40サブドメイン乗っ取りとDNS準備中41送信ドメイン認証（SPF・DKIM・DMARC）準備中42ボットとスクレイピング対策準備中43決済とカード情報の非保持化準備中44個人情報の最小化と保持期間準備中45委託先・SaaSからの漏えい準備中46インシデント対応の初動準備中47脆弱性報告の窓口（security.txt）準備中48生成AIでコードレビュー・診断をするときの限界準備中49設計段階の脅威モデリング準備中50小さな開発チームのWebセキュリティ点検表準備中