メールフォームのセキュリティ
このページではマルチメールフォームのセキュリティについて説明します。難しい点なのですが、一通り理解しておいてください。
セキュリティの様々な面
セキュリティ問題は避けられない！
昔はどこの家でも鍵などかけていませんでした。しかし、今では、鍵をかけていない家はほとんどありません。しかも、鍵もかなり複雑なものになり、二重にも三重にもなっています。そして、泥棒に入られると「鍵をかけなかったのが悪るかった」と言われる時代になりました。
インターネットの世界もまったく同じといえます。ハッキングの手口も年々巧妙になりセキュリティ対策も一層強固なものが求められるようになりました。Windowsのセキュリティホールが見つかったという報告が絶えることはありません。人間が作ったものに完全なものはないからです。しかし、それでも、セキュリティホールや脆弱性に一つ一つ対処していかなければなりません。これは、時間とエネルギーを奪う大変な作業となります。そうした時間があったら、もっと有用な機能の開発に時間を使いたいのですがそうも行きません。それどころか、セキュリティそのものが一つの商品にさえなっているのですから。
特に、メールフォームの場合、安全性をアピールすることは売り上げにもつながってきますから、十分に心して取り掛かりたいと思います。サイトの管理者もセキュリティに注意を払う必要があります。プログラムは使い方によっても脆弱なもの（人為的な脆弱性）になるからです。では、セキュリティ問題に一緒に取り組みましょう。
マルチメールフォームのセキュリティ対策！
マルチメールフォームのセキュリティ対策について一通りの知識を得ておきましょう。そして、サイトの管理者として注意すべき点をしっかりと把握しておきましょう。
メールフォームではどんなセキュリティ対策が必要なのでしょうか？携帯の場合は特にどんな点が難しいのでしょうか？そして、サイトの管理者として注意すべき点はなんですか？。また、SSLの設定手順についても考えて見ましょう。最後に、データファイルのセキュリティの保護について考えます。
《PCフォームのセキュリティ》
PCフォームのセキュリティで必要な対策は何ですか？
セキュリティ対策として一般的に取り上げられている中で、メールフォームに関係しているのは主に次の２つです。
- XSS（クロスサイトスクリプティング）
- リファラースパム
XSS脆弱性は、特殊文字「<」「>」「&」「"」「'」を適切に処理すること（サニタイジング）により回避できます。これによりクッキーのハイジャック等のスクリプト混入を排除できるようにしてあります。
リファラースパム対策としてはＩＤやパスワードなど重要な情報はクッキーで受け渡すようにしてあります。
また、データが流出した場合を想定して、パスワードが暗号化（ハッシュ化）してあります。万が一、何らかの事故等によりデータが流出した場合でも対策を講ずるまでの十分な時間があります。これは、ショッピングカートと同じなので、詳しくは、ＰＣショッピングカートのセキュリティ対策をご覧ください。
《携帯フォームのセキュリティ》
携帯フォームのセキュリティの問題点はなんですか？
携帯の場合の一番の問題点は、クッキーが使えない機種があるということです。それでその場合はURL埋め込みでセッションを維持しなければならず、リファラースパムの危険性があるということです（ショッピングカート内に外部へのリンクを貼らない限り脆弱性はないのですが）。しかし、パスワードの暗号化を工夫することにより安全性を高めることが出来ます。
それで、マルチメールフォームでは、パスワードをUserAgent、識別番号、時間的な情報などを使って暗号化し、かつ、ＩＤとパスワードの引渡しをクッキーとＵＲＬ埋め込み方式とを自動で切り替えて行なう方式を使った、ログイン方式を採用しました。
それには多くのメリットがありますが、携帯フォームをそのままiPhoneやAndroidに対応させることが出来るというのはその大きなメリットです。携帯の固体識別番号などを使っている場合はそれが出来ないのですから。
FireFoxを使うと、ＰＣから携帯メールフォームをテストすることができます。iPhone、Android搭載スマートフォンのテストもできます。UserAgentをいろいろ変えてテストしてみてください。（UserAgentが携帯、iPhone、Androidのものでないとログイン機能が使えないようになっています。）
この点も、ショッピングカートと同じなので、詳しくは、携帯ショッピングカートのセキュリティ対策をご覧ください。
《管理のセキュリティ》
管理者はセキュリティにどう関係していますか？
管理プログラムはクッキーにより管理者用パスワードの認証を行います。パスワードは暗号化されて保存されますから、管理者以外には誰もわかりません（管理者用のパスワードを1234以外の値に設定して更新すると暗号化されます）。
また、ＩＰアドレスが固定の場合はＩＰアドレスのチェック機能も付いていますので、セキュリティを一層強固にできます。しかし、この機能は必ずしも使わなければならないというわけではありません。パスワードを適切に管理することの方が重要なのです。
それで、管理者がパスワードをきちんと管理することがどうしても必要なのです。そして、ログアウトすることを忘れないでください。PCを他の人と共有している時には特に気をつけてください。その点に関しましては、管理のセキュリティ対策を参照してください。
《SSLの設定》
SSLの設定の手順を説明してください？
マルチメールフォームのSSLの設定の手順はSSL設定手順で詳しく説明されています。
共有SSLと独自SSLの違いについては、独自ＳＳＬと共有ＳＳＬの違いに記されています。もちろん、どちらでも良いと思いますが、携帯の対応状況を確認する必要があります。携帯対応で安い独自SSLはX-serverの独自ＳＳＬ（ラピッドＳＳＬ、年10,500円）などを検討すると良いと思います。これからどんどん安い独自SSLが現れると思いますが。
《データファイルのセキュリティ》
データファイルはどのようにして保護しますか？
データファイルの安全性が最後になりましたが、実はこれが一番重量なのです。SSLやパスワードの暗号化よりもはるかに重要なのです。サーバー内のデータファイルが外部から読み取られないように注意を払う必要があるのです。
それで、データファイルの多くは、拡張子をcgiにするという方法をとっていますので、仮にアクセスしたとしても500エラーとなり読み取られることはないのです。
しかし、この点で一番危険なのがCSVファイルです。CSVファイルをWEB上からダウンロードすることがあるかも知れません。そうであれば、他の人もダウンロードできるということです。ですから、CSVファイルのダウンロードには気をつけてください。この点に関しましては、ファイル（個人情報）を保護する方法を参考にして必ず対処してください。
XSS
XSS（クロスサイトスクリプティング）とはセキュリティ上の不備を意図的に利用し、悪意のあるスクリプトを混入させることです。この手口で最も一般的なものはクッキーのハイジャックです。しかし、XSS脆弱性は、特殊文字「<」「>」「&」「"」「'」を適切に処理すること（サニタイジング）により回避できます。
暗号化とSHA1
パスワードを暗号化するように勧められていますが、まだのお店は少なくありません。パスワードの再発行の手続きをしてあなたのパスワードが送られてきたら、暗号化されていないということです。暗号化するとお店の方もプログラム開発者も誰も元のパスワードが分からなくなるのですから。分かるのはあなただけなのです。それで、この場合、仮パスワードを作成して送信するという手法を用いています。会員は、仮パスワードでログインしてから、パスワードを変更して使うことになります。
この不可逆暗号化にはSHA1というアルゴリズムが多く使われています。アメリカや日本の政府でも使われています。
RapidSSLを体験
X-serverで多くの携帯に対応している独自SSL「RapidSSL」を年10,000円ほどで導入できるようになりました。やっと手が届くようになりましたね。ではそれをMultiMailFormで体験してみてください。