J.A.R.V.I.S.計画第三十一話

ClearWingを業務で使う前に決める、検査対象と秘密情報の伏せ方

GitHub、WordPress、公開URLを点検する前に、渡してよい情報と伏せる情報を分ける実務メモです。

「ClearWing 使い方」と検索した技術担当者が最初に迷うのは、機能名よりも、どこまで検査対象にしてよいか、秘密情報をどう伏せるかです。この記事では、攻撃手順ではなく、防御側の月次点検として安全に使うための整理を行います。

ClearWingを業務で使う時、いきなり本番リポジトリやWordPress管理情報を丸ごと渡すのは危険です。先に決めるべきなのは、検査対象、渡してよい情報、伏せる情報、結果を誰が読むかです。

中野区の中小企業や、社長・総務・情シス兼務者の現場では、Webサイト、GitHub、WordPress、問い合わせフォーム、外部保守会社の作業がつながっています。点検を始める前に境界を決めておくと、担当者は作業しやすく、社長は月次レポートを読みやすくなります。

1. ClearWingは「秘密情報を渡す道具」ではない

ClearWingを業務へ組み込む目的は、秘密情報を広く見せることではありません。許可された範囲の中で、ソースコード、WordPress、公開サイトの確認候補を整理し、月次点検の材料にすることです。

そのため、最初の設計では「何を見るか」だけでなく、「何を見ないか」を決めます。見ないものを決めておけば、担当者は安心して検査用データを作れますし、社長もレポートの安全境界を理解できます。

本記事では、攻撃手順、侵入手順、実認証情報、実ログ全文は扱いません。防御側の月次点検として、検査範囲と秘密情報の伏せ方に絞ります。

検査対象を一つの箱に入れてしまうと、秘密情報の扱いが曖昧になります。GitHub、WordPress、公開URLを分けると、準備する資料、伏せる情報、月次で見る項目を整理できます。

対象	渡してよい情報	伏せる情報
GitHub	検査用コピー、依存関係、前月差分、公開してよい設定候補。	APIキー、App Password、Secret、顧客情報、内部URL。
WordPress	プラグイン名、テーマ名、バージョン、Site Health、公開ページ一覧。	管理者パスワード、DBダンプ、ライセンスキー、フォーム送信内容。
公開URL	重要ページ、問い合わせ導線、HTTP状態、canonical、noindex、サイトマップ。	非公開ページの中身、管理画面URL詳細、個人情報を含む実データ。

GitHub点検では、本番の秘密情報を含むリポジトリをそのまま渡しません。`.env`、Secret、App Password、顧客名、実ログ、内部URLを除外した検査用コピーを作ります。

月次点検で見るべきなのは、毎回すべてを読み直すことではなく、前月から変わった箇所です。依存関係、ビルド設定、権限に関係する設定、公開ディレクトリ、不要ファイルの差分を確認候補にします。

秘密情報を発見するために実値を見せるのではなく、秘密情報を扱わない形で点検できる状態を作るのが先です。

WordPress点検では、管理画面で見える情報と、公開サイトで見える情報を分けます。プラグイン、テーマ、WordPress本体、PHP、Site Healthは管理情報です。一方で、noindex、canonical、サイトマップ、フォーム導線、表示崩れは公開面の情報です。

DBダンプやフォーム送信内容まで扱う必要がある場合は、月次点検の通常入力に混ぜません。社長または担当者の明示許可、バックアップ、保管期限、削除条件、閲覧範囲を決めた限定報告として扱います。

公開URLの点検では、通常閲覧で見える範囲を確認します。HTTP 200、リダイレクト、404、canonical、noindex、サイトマップ、問い合わせフォームへの導線、重要ページの画像や内部リンクを見ます。

ここでは、認証突破や負荷をかける試験は行いません。会社が許可した範囲の中で、通常閲覧に近い非破壊確認に限定します。月次レポートでは、問題候補と、今月直すべき導線を分けて書きます。

ClearWingの候補一覧をそのまま社長へ渡しても、次に何をするべきか分かりにくくなります。AI特命室では、候補をAIで分類し、人間SEが誤検知と業務影響を確認したうえで、優先度A/B/Cに分けます。