AIで作ったWebサービスのセキュリティレビュー｜権限・設定・運用を確認する

AIで作ったサービスを公開するときは、誰が何を操作できるか、情報がどこへ保存されるか、変更をどう反映するかを確認します。画面が動くことに加えて、他人の情報へアクセスできないか、失敗した処理をどう扱うかも確認対象です。

このガイドは、自分でAIを使って開発を続ける事業者や、社内に相談できる技術者がいない担当者向けです。コードと設定のレビュー、継続的な技術相談、実装の依頼を分けて考えます。

確認したい内容から、詳しい記事を選ぶ

最初に、利用者とデータの関係を整理する

同じログイン機能があっても、利用者全員が同じ情報を見てよいサービスと、自分の登録情報だけを見るサービスでは、権限の設計が異なります。

「誰が」「何を」「どこまで」操作できるかを、画面とデータで整理します。たとえば、未ログインの人は公開記事を読む、登録者は自分の情報を変更する、運営者は公開可否を判断する、という分け方です。

画面の表示と、データを操作できる権限をそれぞれ点検します。ボタンを隠している場合も、サーバーやデータベース側でアクセスを制限する必要があります。ログインが本人を確かめる認証、どの操作を許すかが認可です。

Supabaseは、RLS・関数・キーを合わせて確認する

Supabaseには、利用者ごとにデータの行へのアクセスを制限するRLSという仕組みがあります。有効化の状態に加え、閲覧・追加・変更・削除の条件が業務に合うかを確認します。SupabaseのRLS公式ガイド

データベース内で処理を行う関数も確認対象です。実行する権限や関数に与えられた権限によって、テーブルを直接操作する場合と条件が異なることがあります。DB関数の公式説明

公開を想定したキーと、強い権限を持つ秘密のキーは扱いが違います。キーの文字列が見えるという理由だけで漏えいと判断せず、種類と置かれている場所を確認してください。APIキーの公式説明

具体的な確認表はSupabaseレビューのチェックリストへまとめています。テストは自分が管理する環境とアカウントで行い、顧客の実情報を試験用に使う範囲も限定します。

コードにない設定と、外部連携も見る

コードの保管場所だけを確認しても、公開環境の設定や外部サービスの権限までは分かりません。配信サービス、データベース、メール、決済、ファイル保存、外部APIを一覧にします。

複数のサービスを使う構成では、誰が契約を管理し、どの通知を受け取るかも決めます。退職や担当変更で通知が届かなくならないかを確認してください。

AIが作った変更を、本番へ反映する手順を確認する

データ構造を変えるSQLを履歴に残していても、それがどの環境へ適用されたか分からなければ、次の変更で迷うことになります。コードの変更とデータベースの変更を、どの順番で反映するかを記録します。

検証環境が本番のデータベースにつながっていると、試した操作が本番の情報に影響します。接続先と権限も分けてあるか確認してください。Vercelの環境の説明

バックアップは取得の設定に加え、何をどこまで戻せるか、誰が復元できるかを確認します。公開後に増えたデータや、ファイル保存先の扱いも必要です。

レビューの結果は、優先順位と未確認事項を残す

依頼時には、対象のコード・設定、実施する確認、成果物を合意します。所見には、確認した事実、影響する機能、早めに対応するもの、今後の開発で改善するものを分けて記録します。

レビュー結果には、点検した日時・範囲と、確認できなかった箇所を記載します。その後に機能や設定を変えた場合は、変更箇所を再確認してください。安全性の認証、侵入テスト、事故調査を求める場合は、目的に応じた専門サービスの範囲を別に決めます。

Float Engineeringの技術顧問・セキュリティレビューは、初回5万円、継続月額5万円（税別）です。対象範囲を確認して着手し、初回の結果を見て継続を判断できます。

自分で開発を続ける相談と、実装の依頼を分ける

設計の相談や変更内容の確認を受けながら、自分で実装を続ける方法があります。一方、まとまった修正や認証・決済の実装、本番公開を任せたい場合は、AIのあとしまつで作業範囲を見積もります。

古いPHPなどから新しい構成へ作り直す場合は、Webサービスの再構築が対象です。公開ページ中心のホームページは、WordPress・Studioのガイドから確認できます。

相談時には、サービスの用途、使っている構成、気になる操作をお知らせください。秘密情報や顧客データの共有方法は、その後に決めます。

Node.jsやNext.jsの更新通知も、運用の確認項目にする

AIで作ったサービスにも、使っているソフトウェアの更新が必要です。Node.jsの2026年10月の脆弱性とNext.jsの同月の更新では、自社に関係するかを担当者へ確認する項目を整理しています。新しい構成を使っているという理由だけで、保守を省かないようにします。