16,326
件の露出したデータベース
2026年9月、UpGuard の調査で約30万ドメインを調べたところ、誰からのリクエストにも応答する Supabase データベースが1万6千件以上見つかりました。その半数以上に個人情報が含まれていました。
出典：UpGuard, via SaaSCityAIで作ったアプリのためのセキュリティ
アプリはAIが作った。データが漏れていないかは、私たちが確かめます。
Lovable、Bolt、Replit、Cursor、v0 で作ったアプリは、データベースが開けっ放し、キーがむき出し、認証が甘いまま公開されがちです。私たちが問題を見つけ、定額で修正します。作り直しなし、囲い込みなし。
- 読み取り専用のチェック、あなたの許可があるときだけ
- 定額料金、以下に掲載
- コードとインフラはあなたのアカウントのまま
課題
これは仮の話ではありません
RLS オフ
が原因です
AIコーディングツールは、Row Level Security なしでテーブルを作ることがよくあります。オフのままだと、すべてのアプリに含まれる公開キーで全行を読み取れ（時には削除でき）てしまいます。
98%
に1つ以上の不備
本番稼働中のAI製アプリ1,072件を調べたところ、98%に少なくとも1つのセキュリティ不備がありました。まれではなく、よくあることです。
出典：Symbiotic Security, via Medium多くの創業者は、ユーザーや研究者、攻撃者に先に見つけられて初めて気づきます。修正はたいてい小さい。難しいのは見つけることです。
対象範囲
チェックして直す内容
わかりやすい言葉のレポートをお渡しします。何が問題だったか、何を変えたか、次にAIに指示するとき何に気をつけるか。
- データベースのアクセスルール
- すべてのテーブルに Row Level Security を設定し、誰が何を見てよいかに合わせたポリシーにします。ただ有効にしてアプリを壊すようなことはしません。
- 露出した機密情報
- フロントエンドのコードや公開リポジトリに置かれたサービスキー、APIトークン、認証情報。これらを再発行し、サーバー側へ移します。
- 認証
- サインアップ、パスワード再設定、メール認証、セッション管理を見直し、他人のアカウントに入られないようにします。
- 決済とWebhook
- Stripe などの Webhook を署名で検証し、偽の「支払い成功」イベントで有料機能が解放されないようにします。
- ストレージ
- 本来は非公開であるべき公開バケット。ユーザーのアップロード、請求書、身分証など。
- バックアップと復旧
- ポイントインタイムのバックアップを有効にし、復元をテスト済みにして、AIの誤った変更一つでデータが消えないようにします。
対応スタック
- Supabase
- Firebase
- Next.js
- React / Vite
- Node
- Vercel
- Netlify
- Cloudflare
別のスタックですか？お尋ねください。対応外なら正直にお伝えします。
流れ
流れ
- 1
無料チェック（48時間）
アプリのURLを送り、権限があることを確認してください。読み取り専用で非破壊のチェックを行い、見つかった重大な問題をメールでお送りします。
- 2
修正（3〜5営業日）
一時的なアクセスを許可してください。まずバックアップを取り、別のブランチやプレビューで作業し、あなたのOKなしに本番へは反映しません。
- 3
レポート＋引き渡し
書面のレポートをお渡しし、継続保護を選ばない限り、こちらのアクセスは削除します。
料金
定額料金。最初から公開。
Free Check
今の状態を知りたい方に
$0
- 外部からの読み取り専用チェック
- 主な問題を48時間以内に書面で
Security Fix
ローンチ価格公開間近、またはすでにユーザーがいるアプリに
$490$990 一括
最初の5件のプロジェクト限定、以降は$990。- 「チェックして直す内容」のすべて
- アプリ1つ、本番環境1つ、テーブル25個まで
- わかりやすい言葉のレポート
- 14日間の追加質問対応
Security Fix を申し込む
どの修正も無料チェックから始まります。お支払い前に範囲と料金を確定します。
Guard
修正後もAIで作り続ける方に
$149/月
- 週次の自動スキャン
- AIの各変更を公開前にレビュー
- 稼働状況とエラーの監視
- バックアップの確認
- 優先的な修正対応
修正後に追加
より大きなアプリ、複数の環境、作り直しが必要ですか？着手前に定額でお見積りします。時間単位の請求はしません。
私たちの進め方
- 作業するのはシニアエンジニアです。 バックエンドとフロントエンドで10年以上の経験。ボットでも、若手に渡したチェックリストでもありません。
- アプリはあなたのものです。 コード、データベース、ホスティングはあなたのアカウントのまま。あなたのデータを私たちの側へ移すことはありません。
- 許可された対象のみテストします。 あなたが所有する、またはテストを許可されたアプリだけを対象とし、書面で確認します。
- 既定で機密扱い。 NDAはご要望に応じて。あなたのデータのコピーは残しません。一時アクセスは引き渡し時に削除します。
- 登録済みの会社として、 すべての請求に契約書と請求書を発行します。
これは何ではないか
- 正式なペネトレーションテストや準拠認証ではありません （SOC 2、HIPAA、PCI）。必要ならお伝えし、そのための準備をお手伝いできます。
- 何も起きないという保証ではありません。 誰もそれを正直には約束できません。私たちは、既知でよくある影響の大きい問題を直します。攻撃者が最初に狙うのはそこです。
- 作り直しではありません。 今あるものを直します。本当に救えないものがあれば、そう伝え、別途お見積りします。
よくある質問
よくある質問
無料チェックにアプリへのアクセスは必要ですか？
いいえ。無料チェックは、あなたの書面での許可のもと、公開URLのみを使います。Security Fix ではリポジトリとデータベースへの一時アクセスが必要です。
アプリを壊しませんか？
何かに触れる前にバックアップを取り、別のブランチやプレビューで作業し、本番反映の前に主要な流れをあなたと一緒に確認します。
自分のスタックがわかりません。
大丈夫です。どのツールで作ったか（Lovable、Bolt、Replit…）を教えていただければ、あとはこちらで判断します。
修正にはどれくらいかかりますか？
標準の範囲のアプリなら、アクセスを受け取ってから3〜5営業日です。
その後もAIで作り続けられますか？
はい。問題を再発させないためにAIへ何を伝えるかもレポートに含めます。Guard は各変更のレビューを追加します。
重大な問題が見つからなかったら？
結構なことです。それを書面でお渡しし、チェックの費用はかかりません。
米国外のアプリにも対応しますか？
はい。どこの創業者ともリモートで対応します。連絡は英語、ポルトガル語、日本語で可能です。
ユーザーより先に、知っておく。
無料、読み取り専用、あなたの許可のもとで。結果は48時間以内。
無料セキュリティチェック
無料チェックを申し込む
読み取り専用で非破壊です。公開されている範囲だけを見て、最も重大な問題を48時間以内にメールでお送りします。