このサイトで確かめたこと・直したこと

株式会社ネクストラボの公式サイト（nextlabs.jp）のセキュリティ対策のうち、外から確かめられるものを、確かめた日と根拠つきで並べています。

1.動かせるスクリプトを、許可したものだけに限っている

動くのは、許可した配信元のスクリプトと、1 つずつ登録したスクリプト（ハッシュ）だけです（Content Security Policy）。誰かがページにスクリプトを差し込んでも、登録していなければ動きません。object・embed によるプラグインも読み込めません。

2026年10月28日に強制に切り替え。本番のレスポンスヘッダで確認（2026年11月6日）

このサイトのページを、他のサイトの枠の中に表示させません。ほかにも、次に来たときも HTTPS で開かせる、カメラやマイク、位置情報を使わせない、といった指定をヘッダで出しています。

本番のレスポンスヘッダで確認（2026年11月6日）

このサイトのページの中にあるフォームは、送り先をこのサイト自身と、お問い合わせフォームのサービス（HubSpot）の受付だけに限っています。

2026年10月28日に送り先を絞り直した。本番のレスポンスヘッダで確認（2026年11月6日）

このサイトの問題に気づいた方が連絡できるよう、連絡先を security.txt（RFC 9116）で公開しています。

本番で確認（2026年11月6日）

載せているのは上の 4 つだけです。脆弱性が無いことや、侵入されないことを保証するものではありません。対策の細かい設定は、攻撃の手がかりになるので載せていません。