作ったものをサーバーに公開する：見せる前に閉じておく場所

プロクラ

作ったものを実際に動く形で見せられるのは、それ自体が強みだよ。ただ、公開するということは、誰でも触れる場所に置くということでもある。渡す前に閉じておく場所がいくつかある。

先に塞ぐ4つ

• エラーの詳細表示：開発用の設定のままだと、ファイルの場所や設定の中身が画面に出る
• 管理画面：作った本人しか使わないなら、そもそも外から見えないようにする
• 設定ファイル：鍵やパスワードを書いたものが、公開する範囲に入っていないか
• 検証用のデータ：本物に見えるダミーを置いていないか

1つめは特に見落とされます。手元では便利なので有効にしたまま移してしまい、そのまま公開されている例が多くあります。攻撃する側から見ると、構成が書かれた地図を渡されたのと同じ状態です。

レン

小さいものだし、そこまで見られないと思うんですが。

ウィルスン

見に来るのは人じゃないんだ。IPアドレスを順番に叩いて、応答したところに既知の手口を試す仕組みが常に動いている。規模も知名度も条件に入っていない。公開したという一点だけで対象になるよ。

鍵を書き込んだまま公開しない

外部サービスのキーをソースコードに直接書くと、共有した時点で漏れます。バージョン管理は履歴を残すのが仕事なので、あとからファイルを消しても過去の記録から取り出せます。設定ファイルに分け、そのファイルを管理の対象から外してください。既に上げてしまった場合は、消すより先に無効化が要ります。

渡す前の確認

• HTTPSで開けるか（警告が出ないか）
• スマートフォンの幅で崩れていないか
• 自分以外の環境から実際に開いてみたか
• 止まったときに気づける状態にあるか

プロクラ

最後の項目は忘れられやすいところだね。見てもらう時期に止まっていた、というのは一番もったいない。外から見に行く監視を1つ入れておくだけで防げるよ。

動かし続けるか、畳むか

公開したものは、放っておくと古くなります。更新されないまま動き続けるサーバーは、時間が経つほど侵入されやすくなります。見せる期間が終わったら消す、続けるなら更新の予定を決める。どちらかを選んでおいてください。

共用サーバーで足りる場合もある

静的なページを置くだけなら、共用サーバーでも十分に公開できます。VPSを選ぶ理由になるのは、サーバー側で動くものを載せる場合や、環境を自分で組んだこと自体を見せたい場合です。手段が目的に合っているかは、一度確かめてみてください。

プロクラ

逆に言うと、自分で構築した過程そのものが見せたいものなら、VPSでないと成立しない。何を見てもらいたいかで決まる話だね。

止まっていないか自分で気づく

外から見に行く監視を1つ入れておけば、止まったときに通知が届きます。無料で使えるものもあり、設定は数分で終わります。見てもらう時期に落ちていた、という事態を避けられます。