Cyfendo を Replit に接続する

ワンクリックで、Cyfendo を Replit Agent に追加できます。

セットアップ · 約 1 分

セットアップ

  1. 「Scan tool output for prompt injection」をオンのままにして、「Test & save」をクリックします。

  2. 「Authorize Cyfendo」をクリックします。開いたウィンドウで Cyfendo にログインし、「Allow」をクリックします。

  3. 以下の指示を replit.md に追加してください。これは Replit Agent がリクエストのたびに読み込むファイルです(クリック操作は指示と一緒に記載しています)。最初のチェックで、Cyfendo がプロジェクト固有の ID を発行し、エージェントがそれを cyfendo.json に保存します。

    指示を取得

  4. Replit Agent が指示を読み込むよう、新しい Agent のチャットを開始してください。

Cyfendo を初めて使う場合は、「Continue with Google」を選ぶと、同じ手順で無料アカウントを作成できます。メールアドレスで登録した場合は、先にメールアドレスを確認してから、アプリからもう一度接続を開始してください。

手動で追加する場合は、Replit で Settings → Integrations → Your integrations を開き、「Add custom」→「Add personal MCP server」をクリックして、名前を Cyfendo にし、URL に https://mcp.cyfendo.com/mcp を入力します。

おすすめ

エージェントにチェックのタイミングを教える

これを replit.md に貼り付けると、Replit がリスクのある変更の後に自動で Cyfendo を呼び出し、結果が出たときにお知らせします。

Replit での追加方法

  1. 以下の指示の「Copy」をクリックします。
  2. Replit のアプリを開きます。右上の端にある青い「Publish」ボタンのすぐ右にある、サイドバーのボタン(右側に縦線が入った長方形)をクリックします。Library サイドバーが開くので、Files タブを選びます。
  3. replit.md をクリックして開くか、「Search files」に replit.md と入力します。フォルダの中ではなく、プロジェクトの最上位にあります。
  4. ファイルの一番最後、最後のセクションの後までスクロールし、新しい行に、独立したセクションとして指示を貼り付けます。「User preferences」や「Gotchas」などの既存のセクションの中には貼り付けないでください。Replit Agent は構築しながらそれらを書き込むため、上書きされる可能性があります。Replit は変更を自動で保存します。
  5. ファイルの末尾が、「Security checks (Cyfendo)」セクションと、その 4 つの箇条書きになっていることを確認します。

replit.md がない場合や、ファイルを編集したくない場合は、Replit Agent に「この内容を、プロジェクトのルートにある replit.md に、一字一句そのまま追加してください(ファイルがなければ作成してください):」というメッセージに続けて指示を送ってください。

すべての Replit プロジェクトで使うには、代わりに Settings → Customization → Instructions に貼り付けて、「Save changes」をクリックします。

replit.md 
## Security checks (Cyfendo)
Cyfendo identifies this project by the project_id in cyfendo.json at the project root. Pass it in every Cyfendo call. If the file doesn't exist, the first check or scan creates the project: save the project_id it returns to cyfendo.json.
- At the start of each of my requests, call cyfendo_status and tell me about any earlier_results before doing anything else.
- When you finish a task that changed login, sessions, permissions, database access, payments, file uploads, API routes or secrets, call cyfendo_check_changes once with all the files the task changed and a short label. Don't wait for the result.
- For a confirmed issue that is still current, fix it as its fix_steps describe, or call cyfendo_generate_fix and then cyfendo_get_fix for Cyfendo's tested patch and show me the diff before applying it. Then call cyfendo_verify_fix.
- When I say I'm getting ready to publish, call cyfendo_scan_project and tell me when it has finished.

動作を確認する

試してみる

以下のいずれかを、Replit のエージェントに送ってください。

  • 接続を確認するCyfendo を使って、私のセキュリティの状況を表示してください。
  • 変更をチェックするCyfendo で、いま変更したファイルをチェックしてください。
  • 完了した結果を取得する準備ができている Cyfendo の結果を取得してください。
  • 公開する前に公開の準備をしています。Cyfendo のフルセキュリティスキャンを実行してください。

公開する前に

Replit のアプリセキュリティ

Replit で作ったアプリは安全ですか?

Replit Agent は、多くの場合データベース、ログイン、API ルートを備えた、アプリ全体を書いてデプロイします。それが安全かどうかは、そのコードによります。すべてのルートが呼び出し元を確認しているか、ユーザーが互いのデータにアクセスできないか、シークレットがコードではなく Replit の Secrets に保管されているかなどです。

Replit には、すでにセキュリティスキャナーがありませんか?

はい。Replit は、パッケージの既知の脆弱性を無料でチェックします。有料プランでは、公開前に Security Agent がソースコードをレビューし、さらに深いレベルでは、実行中のアプリを外部からテストします。Replit 自身のドキュメントでは、スキャンは完全なセキュリティレビューではないとされています。Cyfendo は、Agent が構築する際にリスクのある変更をチェックし、報告する内容を隔離されたサンドボックスでの安全な攻撃で実証するため、Replit のスキャンと併用できます。

パターンスキャンでは見逃すものを、Cyfendo はどのように見つけますか?

アプリ独自のロジックの欠陥です。他のユーザーのレコードを返すルート、ログイン済みであれば誰でも呼び出せる管理操作、送られてきたものを何でも信用するウェブフックなどです。コードが普通に見えるため、これらに一致するルールはありません。Cyfendo は、実際に攻撃を試すことでそれらを示します。

詳しく読む

知っておくと便利なこと

  • 各プロジェクトには、最初のチェックの際に固有の Cyfendo プロジェクト ID が発行され、エージェントが cyfendo.json に保存します。このファイルはご自身で作成しないでください。プロジェクトをリミックス、フォーク、複製した場合は、コピー側の cyfendo.json を削除してください(またはエージェントに依頼してください)。そうすると、コピーは元のプロジェクトの履歴に追加されず、独自のチェック履歴を持つようになります。
  • Replit Agent は、プロジェクトについて把握するたびに replit.md も編集します。ときどき、「Security checks (Cyfendo)」セクションがファイルの末尾に残っているか確認してください。Agent が何度も削除する場合は、Agent が変更しない Settings → Customization → Instructions に指示を入れてください。
  • チェックは、Replit Agent が作業を続けている間、バックグラウンドで数分かけて実行されます。エージェントは、あなたがメッセージを送ったときにしか結果を報告できないため、チェックが終わると Cyfendo が通知します。通知を受け取ったら、任意のメッセージ、または「準備ができている Cyfendo の結果を取得してください。」と送ってください。
  • フルスキャン: Repl が GitHub リポジトリ(Replit の Git ツール)に接続されており、そのリポジトリが Cyfendo で接続されている場合(Settings → Integrations → Git)、エージェントは、サイズにかかわらず Cyfendo にリポジトリを直接スキャンするよう依頼します。接続されていない場合や、Cyfendo がリポジトリを読み取れない場合、エージェントはソースファイルを最大 50 ファイルずつに分けてアップロードします。その場合は時間がかかり、Replit Agent の利用量もより多く消費します。
  • ログインのウィンドウが開かない場合は、ブラウザがポップアップをブロックしています。replit.com のポップアップを許可して、もう一度「Authorize」をクリックしてください。
  • Replit が Cyfendo のツールの実行前に確認を求めてきた場合は、チェックを開始できるよう、承認してください。
  • Replit の Manage 画面に、サーバーがもう存在しないと表示された場合は、Your integrations から Cyfendo を削除し、「Add to Replit」でもう一度追加してください。検出事項とチェックの履歴は、Cyfendo のワークスペースにそのまま残ります。
  • ログインの代わりに API キーを使うには、Advanced settings → Custom headers を開き、X-Cyfendo-Api-Key にキーを指定して追加します。
  • Replit は、ツールの定義と実行予定の呼び出しを、自社のセキュリティスキャナーで確認します。Cyfendo のツールがコードを変更することは一切ありません。修正は、あなたが承認した後に、エージェントが適用します。

トラブルシューティング

ログインのウィンドウが開かない

ブラウザがポップアップをブロックしました。お使いのアプリビルダーのサイトでポップアップを許可してから、認可または接続のボタンをもう一度クリックしてください。

個人のワークスペースが見つからない

Business アカウントでは、ご自身のワークスペースは Business ワークスペースになっており、組織の名前が付いています。「your workspace」と表示されているものを選んでください。

接続テストが失敗する

サーバー URL が正確に https://mcp.cyfendo.com/mcp であること(末尾に /mcp が付いていること)と、アプリが尋ねる場合は、トランスポートが SSE ではなく HTTP(Streamable HTTP)であることを確認してください。

チェックが「running」のままになる

攻撃の実証には数分かかるため、チェックはバックグラウンドで実行されます。エージェントは、あなたがメッセージを送ったときにしか結果を報告できません。チェックが完了すると Cyfendo が通知しますので、そのあとエージェントに「準備ができている Cyfendo の結果を取得してください。」と送ってください。チェックは約 15 分でテストを打ち切り、その時点までの結果を報告します。

最終更新日 · Markdown で表示