SnykがChromeのLighthouseと連携

本日は、もう一つうれしいお知らせがあります。Snykが、Google Chromeチーム開発の監査ツールLighthouseに新たに追加された、脆弱なJavaScriptの監査機能を支えることになりました。Lighthouseは、サイトのパフォーマンス、アクセシビリティ、セキュリティをチェックします。

SnykとLighthouse

Lighthouseは、Google Chromeが提供するオープンソースの自動化ツールです。さまざまなベストプラクティスや指標に照らしてウェブサイトをテストし、詳細なレポートを作成します。開発者はレポートを確認して現状を把握し、改善点を見つけることができます。Lighthouseはブラウザー拡張機能やNodeモジュールとして利用できるほか、Google Chromeに組み込まれたデベロッパーツールの監査機能にも採用されています。

Lighthouseを使えば、見落としやすい問題を開発者が見つけやすくなります。アクセシビリティやパフォーマンスは重要でありながら、目に見えにくい問題です。セキュリティについては、HTTPS対応のテストがすでにありましたが、Lighthouseチームは開発者のセキュリティをさらに高める方法を模索していました。

今年初めに発表された調査によると、サイトの37%で、既知のセキュリティ脆弱性を含むクライアントサイドJavaScriptライブラリが少なくとも1つ使われていました。その後、Snykが調査を進めたところ、実態はさらに深刻で、上位5,000件のURLの77%で、既知のセキュリティ問題を抱えるJavaScriptライブラリが使われていました。

この問題の重要性を認識したLighthouseチームから、脆弱なJavaScriptライブラリを監査する機能の開発に協力してほしいと依頼されました。Lighthouseの大ファンである私たちは、もちろん喜んで協力しました。Lighthouse バージョン2.5.0には「ベストプラクティス」監査機能が追加され、Snykの脆弱性データベースと照合することで、既知のセキュリティ脆弱性を含むフロントエンドJavaScriptライブラリを検出できます。

サイトを監査すると、Lighthouseは使用中のライブラリとそのバージョンを確認し、Snykのデータベースと照合して既知のセキュリティ問題がないかを調べます。問題が見つかると、サイトの監査スコアが減点され、脆弱性に関する情報とともに、詳細の確認や問題の解決に役立つSnykへのリンクが表示されます。

追加のインストールは不要です。Google Chrome Canaryで今すぐお試しいただけます。まもなくGoogle Chrome本体にも搭載される予定です。

既知の脆弱性への認識を高める

フロントエンドチームは、すでにLighthouseを使っているか、そうでなければ使い始めるべきでしょう。Snykとの新たな連携により、監査に欠かせないセキュリティ問題の情報を一元的に確認でき、対策を取りやすくなります。

Lighthouseはページそのものを調べ、配信済みの内容をチェックします。一方、脆弱なライブラリを見つけるのに最適なのは、本番環境に取り込まれる前です。早い段階で見つけるほど、修正やアップグレードによる対処が容易になります。

開発者の皆さんは、開発プロセスの一環として、こうした脆弱なライブラリを必ずテストし、修正してください。この保護を継続的に適用することが、サイトとユーザーを守る最善の方法です。Snykはまさにそのために開発されており、オープンソースプロジェクトなら無料で利用できます。ぜひお試しください。さらにLighthouseを使えば、既知のセキュリティ上の欠陥を含むJavaScriptをユーザー向けにデプロイしていないか、もう一段階の可視性を確保できます。

LighthouseやSonarのようなツールが、クライアントサイドJavaScriptの問題検出を優先することは、ウェブ全体のセキュリティ向上に向けた大きな一歩です。ウェブをデフォルトでより安全にするために、こうした取り組みに協力できることをうれしく、誇りに思います。