Web 認証・パスワード保護ガイド

ログインまわりは「本命はパスキー、残る OTP とパスワードは被害を小さく、トークンとセッションは検証を固く」の 3 本立て。

パスキーと OTP

• パスキーで「詰まない」ための運用のコツ — @agektmr
• SMS OTP をドメイン紐付け形式＋one-time-code＋WebOTP でフィッシングに強くする — @agektmr

パスワードの保存

• パスワードハッシュは「アルゴリズム＋コストパラメータ」まで決める（Argon2id / scrypt / bcrypt / PBKDF2） — @yousukezan

トークンとリクエストの検証

• JWT の alg: none 攻撃を防ぐ検証の書き方 — @yousukezan
• CSRF を 3 つの関門で考える（CORS / SameSite / Origin・Sec-Fetch-Site 検証） — @calloc134
• リバースプロキシ配下で「localhost からのアクセスは信頼」が破綻する問題 — @nakajimeeee