ドメイン殺しにやられた話。連載一覧searchウラル2019-10-22に更新ドメイン殺しにやられた話。Webサービス先日、長いこと閉鎖していたサービスを復活させました。changerhttps://ogpc.ga/これは、SNS共有用のURLを発行するサービスです。閉鎖に至ったのには大きな理由がありました。Shortener」(lmp.tw)の悪用でした。Shortenerは純粋な短縮URLサービスです。ユーザー数が少ないため、他よりも短いURLを取得できるのがウリでした。2019まさかの事態に。何が起きたのか?lmp.twドメインが全てTwitterに弾かれ、一切ツイートできないようになっていました。ツイートされたリンクを踏むと、全てのページでセキュリティエラーが表示されるようになりました。一言でいうと、ブラックリストに登録されたのです。2019この人物は、lmp.twの他にも複数の短縮URLサービスで危険なリンクを作成し、ツイートすることで、サービスを殺しているようでした。悪意があるとしか言いようがありません。これまでも数多くの短縮URLサービスが出来ては消えていきましたが、このような悪意ある利用がその主な原因だったと言えるでしょう。私はすぐにサービスを停止せざるを得ませんでした。changer(ogpc.ga)も停止することになったのでした。ドメインを取り戻すまでlmp.twがブラックリスト入りしたことで、私のTwitterアカウントのプロフィールのリンクが使えなくなりました。これでは信用に関わります。リンクを削除しましたが、このまま放置するわけにはいきません。危険なリンクは既に削除したので、まずはドメインを回復させます。危険なURLと判断された流れは次の通りでしょう。Browsing」(URL安全性確認サービス)によって危険と判断されていたURLを、悪意のあるユーザーが短縮URLサービスに登録し、ツイートする。Browsingでドメイン全体に危険ステータスが付与される。Twitterや他のセキュリティサービスがその情報を元にドメイン全体をブロックする。Browsingによるスパム判定を解除する必要があります。サイトが危険と見なされているかどうかはこのページから確認できます。Browsingに再審査を要求する手順はこちらです。審査に合格するとステータスが解除されます。Browsingによるステータスが解除され次第、マカフィーなど他のセキュリティサービスの解除申請を送ると良いでしょう。Twitterでは、「スパムを報告」というページから、「Twitterがスパムと判断したため、リンクをツイートできません。」を選ぶことで、スパム判定を食らったリンクを回復できます。やった結果、lmp.tw自体は数週間で回復しました。信用を失うのは一瞬だが、取り戻すのは本当に手間と時間がかかる、と実感しました。changerはそんなわけで、同様のリスクがある以上復活させられないことから、長い間「改修中」と称し閉鎖していました。ちなみにずっと404を返していたところ、ドメイン管理サービスに「使用実態がない」と見なされ、ドメインを剥奪されるハプニングもありました...。Browsingによって弾かれたのですから、同じ基準で守ればよいのです。APIを使うと、そのリンクが安全かどうかを判定できます。こちらのブログを参考に、PHPでURLの判定を行なうようにしました。Platformでプロジェクトを作成して取得します。外部へのURL遷移には今後注意していこうと思いました。無意味な遷移はできるだけ控えたほうがよいでしょう。サービスの中で外部URL遷移を利用している場合は、何かしらの対策を行うべきです。APIの利用の他、HTTPのLocationによる遷移ではなく、HTMLのmetaタグによる遷移や、javascriptによる遷移に変更するのも良いでしょう。自分の知らないセキュリティリスクは多いなと感じました。changerをよろしくお願いします。ツイッターでシェアみんなに共有、忘れないようにメモウラルSplatoonの二次創作サイト「スプランプ」の管理人です。サーモンラン研究所やオクトチャット、フェス速報などを作りました。https://splamp.infoCrieitは個人で開発中です。どんな軽い内容でも嬉しいです。邦訳Nuxt.js(SPA)+FirebaseのWebアプリで初マイグレーションをしてけど、いろいろ失敗した話。