利用者ごとのレスポンスをキャッシュで混在させない

AIが最初に見る箇所

• CDN・プロキシの保存条件、キャッシュキー、Cookie・Authorizationの扱い、認証後のページとAPI

確認すること

1. 個人情報を含むレスポンスの保存条件とキャッシュキーを照合し、利用者・組織・権限の違いを正しく扱っているか確認する。
2. 所有者が許可した検証環境の試験証拠で、Aの後にBが同じURLへアクセスしてもAのデータが返らず、未ログイン・ログアウト後にもデータが残らないことを確認する。
3. 通常、エラー、リダイレクト、再認証のレスポンスとキャッシュ無効化後の挙動を確認する。設定だけで証明できなければunverifiedとする。

修正の方向

• 個別レスポンスの共有キャッシュを止めるか、必要な識別子と権限を含む分離を設計し、変更時には既存キャッシュも無効化する。

限界・未確認として残す範囲

• Cache-Controlの記載だけでは、CDNやアプリ独自の保存処理まで保証できません。認可そのものはSEC-014で別に確認します。
• 事故へのリンクは点検の提案です。各サービスに同じ設定不備があるという認定ではありません。