Base44 でセキュリティスキャンを定期実行する新機能

Base44 のセキュリティセンターで、アプリの点検(スキャン)を毎週や毎月自動で走らせるようになりました。

手動でスキャンを始めなくても、検査が必要なアプリが自動で検査され、必要なら所有者に通知されます。点検の履歴も残るため、いつ検査したか、何が検出されたかを後から追えます。検査にはクレジット(※利用枠)が消費される点には注意が必要です。

使いどころ

• 複数のアプリを運用するチームで、点検の担当が特定の人に偏らない状態にしたい人
• セキュリティ審査で「定期的に検査しています」と説明できる記録を残したい人
• 検出された問題を、アプリの所有者へ自動的に共有したい人

公式手順の要点

公式の更新履歴にある Schedule your security scans によれば、Security Center(ワークスペース設定内)に定期スキャンの設定が加わりました。実行曜日と対象アプリを指定し、実行履歴から状態とクレジット消費量を確認できます。

• 毎週と毎月のスケジュールがそれぞれ用意され、初期状態では無効です。対象はアプリの種別や公開状態での指定と、個別指定の両方に対応します。
• 1回の実行で処理できるアプリ数には上限があり、1週間分は最大200アプリ、1か月分は最大500アプリです。変更があったアプリが上限を超えた分は、次の実行で優先されます。
• 実行履歴には状態、スキャンしたアプリ数、使用したクレジットが記録されます。「完了」「上限に達して一部未処理」「クレジット切れで一時停止」などの状態が表示されます。
• アプリ所有者には、メールとアプリ内通知で対応が必要な内容が送られます。リスクの深刻度と、深刻度や種別ごとの未解決の件数、そのアプリの管理画面へのリンクが添えられます。
• スキャンで調べられるのは、データ権限の誤り、漏れたシークレット、バックエンド関数の扱い、コードやヘッダーの問題、連携のクレジット消費などです。

画面に出る項目や上限は今後変わる可能性があります。正確な手順は Security Center の公式ドキュメント を必ず確認してください。

まだ分からないこと

• 1回のスキャンでクレジットがどれだけ消費されるのか、実際の数値は未確認です。
• エージェントや Superagent、Base Code のアプリは定期スキャンの対象外になります。別の点検手段が必要かは未確認です。