個人開発アプリ276サイトのセキュリティ調査【2026年10月】HSTS・CSP・メール認証の設定率
執筆：IDEAVALU運営 · 更新：
IDEAVALUに掲載されている個人開発アプリのうち、作り手のWebサイトを持つ276サイトを、2026年10月29日に外形チェックで調べました。公開JSから秘密のAPIキーが見つかったサイトは0件でした。一方、HTTPSを強制するHSTSを設定していたのは47%、XSSの被害を抑えるCSPは15%、クリックジャッキング対策は34%にとどまりました。独自ドメインのうち、DMARCでなりすましメールを隔離・拒否する設定にしていたのは15%です。
主な結果
調査した項目のうち、特に差が大きかったものです。割合は、HTTPSで接続できたサイトを分母にしています（メール認証とCAAは独自ドメインのサイトが分母）。
- 公開JSに秘密のAPIキーが含まれていたサイト：0件（276サイト中）。トップページと、そこから読み込まれるJSの範囲で確認しました。
- TLS 1.3 で接続できたサイト：99%。証明書の期限が14日を切っていたサイトは2件でした。
- httpからhttpsへ転送していたサイト：85%。HSTSまで設定していたサイトは47%でした。
- CSPを設定していたサイト：15%。調べたヘッダーの中で最も少ない結果でした。
- 独自ドメインでSPFを設定していたサイト：54%。DMARCで隔離・拒否まで設定していたのは15%でした。
- 総合評価の中央値は100点中60点で、最も多かったのはD評価（37%）でした。
総合評価の分布
IDEAVALUの無料セキュリティ診断と同じ基準で、要対応・注意の項目の深刻度から100点満点で採点し、A〜Fに分けました。
| 評価 | サイト数 | 割合 |
|---|---|---|
| A | 20 | 7% |
| B | 50 | 18% |
| C | 79 | 29% |
| D | 102 | 37% |
| F | 25 | 9% |
ブラウザ向けのセキュリティ設定
レスポンスヘッダーで設定する項目です。どれもヘッダーを数行足すだけで設定できますが、半数以上のサイトで未設定の項目が多く見られました。
Vercel・Netlify・Cloudflare Pagesなどのホスティングでは、証明書やhttpsへの転送は自動で用意されますが、セキュリティヘッダーの多くは自分で設定する必要があります。
| 項目 | 設定ありのサイト | 設定率 |
|---|---|---|
| httpからhttpsへの転送 | 235 / 276 | 85% |
| HSTS（HTTPSの強制） | 129 / 276 | 47% |
| X-Content-Type-Options | 130 / 276 | 47% |
| Referrer-Policy | 120 / 276 | 43% |
| クリックジャッキング対策 | 93 / 276 | 34% |
| Permissions-Policy | 64 / 276 | 23% |
| CSP（読み込み元の制限） | 42 / 276 | 15% |
| サーバーのバージョンを表示しない | 264 / 276 | 96% |
メールのなりすまし対策と証明書の発行元
ホスティングサービスのサブドメインを除いた、独自ドメインの216サイトで集計しました。メールを送らないドメインでも、SPFとDMARCを設定しておくと、そのドメインを名乗るなりすましメールを受信側で拒否できます。
| 項目 | 設定ありのサイト | 設定率 |
|---|---|---|
| SPF | 116 / 216 | 54% |
| DMARC（隔離・拒否まで設定） | 32 / 216 | 15% |
| CAA | 16 / 216 | 7% |
秘密のAPIキーと、データベースの使い方
OpenAI・Anthropic・Stripe・AWS・GitHub・Supabaseのservice_roleなどの秘密鍵が、公開JSに含まれていたサイトは見つかりませんでした。ただし、確認したのはトップページと、そこから最初に読み込まれるJS（1サイトあたり最大10個）です。ログイン後の画面だけで読み込まれるJSは確認していません。
公開JSからSupabaseの利用が分かったサイトは26件、Firebaseは7件でした。これらはブラウザから直接データベースに届く構成のため、RLSやセキュリティルールで他人のデータを読めないようにしているかが重要です。外からは確認できないため、この調査には含めていません。
公開に使われているホスティング
独自ドメインが78%で、残りはホスティングサービスのサブドメインでした。
| 公開先 | サイト数 | 割合 |
|---|---|---|
| 独自ドメイン | 216 | 78% |
| vercel.app | 20 | 7% |
| pages.dev（Cloudflare Pages） | 16 | 6% |
| github.io（GitHub Pages） | 12 | 4% |
| workers.dev（Cloudflare Workers） | 4 | 1% |
| web.app（Firebase Hosting） | 3 | 1% |
| netlify.app | 2 | 1% |
| lovable.app | 2 | 1% |
| onrender.com | 1 | 0% |
調査の方法
2026年10月29日時点でIDEAVALUに公開されていた411件のプロダクトから、App Store・Google Play・SNS・販売プラットフォームなど作り手のサイトではないURLを除き、同じホストを1件にまとめた282サイトを対象にしました。このうちHTTPSで接続できた276サイトを集計しています。
診断は、IDEAVALUの無料セキュリティ診断と同じ受動的な外形チェックです。ブラウザでトップページを開くのと同じ範囲の公開情報と、公開DNSレコードだけを確認し、ポートスキャンや脆弱性を突く試行は行っていません。同時接続は4件に抑えました。個別のサイト名や結果は公開していません。
外から見える設定だけの調査のため、合格の項目が多くても安全とは限りません。また、他サイトへの埋め込みを前提にしているなど、意図して設定していない項目も区別していません。
自分のサイトを確認するには
同じ項目は、IDEAVALUの無料セキュリティ診断で、URLを入れるだけで確認できます。直し方は項目別の解説にまとめています。
- まずHSTS・クリックジャッキング対策・nosniffなどのヘッダーをまとめて設定する（設定例はセキュリティヘッダーの解説を参照）。
- 独自ドメインなら、SPFとDMARCを設定する。メールを送らないドメインは v=spf1 -all と p=reject で十分です。
- SupabaseやFirebaseを使っているなら、RLSやセキュリティルールを確認する。
よくある質問
- 個人開発のサイトで最も多かった未設定の項目は何ですか？
- CSP（読み込み元の制限）で、設定していたのは15%でした。次いでPermissions-Policy（23%）、クリックジャッキング対策（34%）が少ない結果でした。
- 秘密のAPIキーが漏れているサイトはありましたか？
- トップページと最初に読み込まれるJSの範囲では、276サイト中0件でした。ログイン後の画面だけで使われるJSは確認していないため、自分のサイトはビルド成果物の検索などでも確認してください。
- このデータを引用してもよいですか？
- 引用していただけます。出典として「IDEAVALU 個人開発アプリのセキュリティ調査（2026年10月）」とこのページへのリンクを記載してください。