セキュリティについて

名称変更について

2025年3月に espar から espar vault (エスパーボルト)へ名称が変更されました。サービスの機能・仕様・価格に変更はありません。詳しくはこちらをご覧下さい。

共用公開サーバプラン・専用公開サーバプランでは、以下のようなセキュリティ対策や設定を行っています。(独自公開サーバプランは案件毎に異なります）

必要最低限の構成

espar vault の公開サーバは、静的Webサイトのホスティングに必要なもののみで構成されています。そのため、セキュリティインシデントの主たる原因である以下のものが存在しません。

上記の不存在を理由に、espar vault 公開サーバに対するSQLインジェクションやディレクトリトラバーサル等の攻撃は成立することがないと言えます。

Webシステムにおける最大の防御は、セキュリティインシデントの原因となるものを使わないことです。これを上回る防御方法は存在しません。以下のどちらが安全でしょうか？

後者がより安全なシステムとなることに反論の余地はないでしょう。システムとして攻撃対象面(Attack Surface)が圧倒的に狭くなるからです。これは安全性を高める合理的な選択です。

espar vault は、前者方針を採る WAF や IPS/IDS とは対照的に、後者の戦術を採用しています。セキュリティインシデントの原因となるものを元より排除したシステムとなっています。

悪意ある第三者からのアクセスを阻止するために以下の設定としています。

上記の対策を行う事により、espar vault 公開サーバに不正にアクセスされる事が原理的にないと言える環境を構築しています。

espar vaultの公開サーバではSSLやTLS1.0/1.1による通信を受け付けていません。espar vault 導入サイトを閲覧するにはTLS1.2以降で接続するブラウザが必要となります。TLS1.2に対応していないブラウザを使う閲覧者は、サイト表示ができなくなります。

TLS1.2以降に対応していないブラウザでは以下のような表示になります。

Not Support TLS1.2

2024年現在、上記の表示となるブラウザはほぼありません。IE9やIE10などは上記表示となる可能性がありますが、提供元のMicrosoft社がサポートを終了しています。もし当該ブラウザ利用者にもサイトを表示させたい場合、espar vault の導入は推奨しません。

また espar vault 公開サーバは、SSL/TLS終端の接続許容バージョンを継続的に引き上げています。

espar vault の公開サーバでは、サーバ証明書として Let’s Encrypt のDV証明書を使用しています。

公開サーバ用証明書の新規発行・設置・更新の全てを弊社が行います。ただし導入初期の新規発行時には、ご協力が必要となる場合があります。詳しくは以下ページをご覧下さい。

導入後の定期的な更新作業も弊社が行います。証明書種別(DV/OV/EV)によるセキュリティレベルの差に懸念がある場合、 Q. Let’s Encrypt のDV証明書でセキュリティ的に大丈夫なのでしょうか？をご覧下さい。

公開サーバは、ロードバランサと複数台のWebサーバ群で構成しており、過度なアクセスに対する負荷分散を行っています。

共用公開サーバプランにおける負荷分散用のサーバ台数はセキュリティ観点で非公開としています。専用公開サーバプランや独自公開サーバプランでは、基本構成を2台としていますが、詳細は個別の契約によって異なります。

公開サーバは、弊社独自の監視システムにより24時間365日の監視を行なっています。サーバ群に異常が検出された場合、担当エンジニアにアラートが送出され、早期の異常解消を図る体制を整えています。

最新のセキュリティ情報を常時チェックし、最新となるよう定期的なアップデートを行っています。