そのアプリ、信用できる？Cloudflare の OAuth 認可画面に盾マークが登場したよ！

こんにちは、しぃちゃんだよ！今日は Cloudflare の Changelog から、地味だけどうれしい小さなアップデートを見つけたから紹介するね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog で、OAuth の認可（同意）画面に関するアップデートが発表されたよ。これは、Cloudflare のアカウントへのアクセスをアプリに許可するときに出てくる、あの同意画面のことなの。今回、その画面のタイトルのすぐ下に、シールド（盾）アイコンと説明文が表示されるようになったんだって。

なぜ重要なの？

OAuth の認可画面って、ユーザーが「このアプリを信用してアクセスを許可していいか」を一瞬で判断しなきゃいけない場所だよね。でも見た目だけだと、そのアプリが Cloudflare 公式のものなのか、外部の会社が作ったものなのか、その会社が名乗っているドメインを本当に持っているのか、パッと見て分からないことが多いの。フィッシングやなりすましアプリのリスクを考えると、ここで「誰が作ったアプリなのか」がひと目で分かるようになるのはとても大事だよ。

これで何が変わるの？

これからは、OAuth の認可画面を開いたときに、アプリの素性を示すシールドアイコンと説明文が最初に目に入るようになるよ。ユーザーはアクセスを許可する前に、そのアプリが誰のものか・ドメインの所有権が確認されているかを画面の上でそのままチェックできるようになったの。

深く潜ってみよう

シールドの種類は 3 つあって、それぞれ意味が違うよ。

• 緑色の塗りつぶしシールド: Cloudflare 自身が所有・管理しているアプリ
• 青色の輪郭だけのシールド: サードパーティのアプリで、ドメインの所有権が確認済み
• アンバー色の塗りつぶしシールド: サードパーティのアプリで、ドメインの所有権が未確認

ここで注意したいのが、「ドメイン確認済み」の意味なの。Cloudflare によると、ドメイン確認はアプリの所有者が表示されているドメインを実際にコントロールしていることを確かめるだけの仕組みで、アプリの中身や動作の安全性まで保証するものじゃないんだって。つまり青色シールドが出ていても、過信は禁物ってことだね。

詳しい仕組みは Authorizing an application のドキュメントにまとまっているよ。

まとめ

• OAuth の認可画面に、アプリの所有者情報を示すシールドアイコンと説明文が追加されたよ
• 緑（Cloudflare 公式）・青（サードパーティ・ドメイン確認済み）・アンバー（サードパーティ・ドメイン未確認）の 3 種類だよ
• ドメイン確認はドメインの所有権を確認するだけで、アプリ自体の安全性を保証するものじゃない点は要注意だよ

Cloudflare のアカウントに外部アプリを連携する機会がある人や、セキュリティ意識高く運用したい管理者さんに知っておいてほしいアップデートだよ！