→Twitter連携アプリの権限についてあらすじ先日、「ツイート数カウントくん」というTwitter連携アプリを認証していた12万アカウントから一斉にブロック・フォロー処理が実行される事件がありました。その件の詳細に関しては以下のまとめ記事等をお読みください。Togetterまとめ関連して注意を呼びかけるツイートが増えています。これについて補足説明の形で説明させて頂きます。ツイッターを楽しく使うのにアプリを使うのもいいと思います。なにかしらの権限を要求されたとき、それを渡していいかどうか考えてください。16こちらがリプライ数チェッカ―で頂いている権限です。「新しくフォローする」と「プロフィールを更新する」権限を余分に取得しているように見えてしまいますが、これは必要最低限の権限になっています。Twitter連携アプリというのはTwitterにお願いして動かしているものなのですが、アプリが許可を貰い受け、アカウントを操作する合鍵を取得する部分はTwitter側が担当しています。その合鍵で入れる範囲は以下の3つのみからの指定になります。onlyタイムラインの取得などを行えます。アクションを起こす行為(つぶやき/フォロー/アンフォロー/ブロック/スパム報告/プロフィール変更など)は行えません。WriteRead権限の他に、先ほどの自発的な行為の全てが行えます。Write権限の他にDirectMessageを取得することが可能です。Write権限となります。具体例を挙げてご紹介していきます。リプライ数チェッカーは4番に当てはまります。占い・診断系アプリ(結果をツイートできる)フォロー関係を見やすくWebページで表示するフォローやブロックを通知する定期的にツイートで通知する1番のアプリに関しては、Read権限のみで問題ありません。1度ツイートするだけであれば、ユーザーが手動でツイートボタンを押さなければいけませんが、Twitter社が用意している専用のページがあります。一度使った後には認証を止めるのも良いでしょう。次に2番のアプリに関しても同様です。フォローしている中で返されていない人数を調べる、等を一度見るだけであれば1番のアプリとなんら変わりありません。3番のアプリでは、「通知」する為には定期的に状況を確認する必要があります。Write権限が必要でしょう。1番の際に言及したページはツイート毎に手動でボタンを押さなければツイートされませんので使用できません。messages権限になるでしょうか。※1最後に4番のアプリに関して。こちらもダイレクトメッセージで通知するかどうかで権限が変わりますが、3番と同様です。Message権限がなくても今の所は送信ができています。安全性について今回の事件の原因について、不正アクセスから守る側の安全性について考えます。個人で運営しているサーバーですと安全性は企業より劣るのは事実です。企業であれば絶対に安心だ、という割り切り方が正しいかといえば、そうではありません。先日もTweetDeckに脆弱性が見つかりました。TweetDeckはTwitter社が提供しているクライアントですが、こういったこともあります。ニュースTwitter連携サービス提供側としましては、できる限りの対応をしているつもりです。それでもこういった事故は起こりえます。それは全てのWebサービスに言えることです。それを理解した上で登録してください。リプライ数チェッカで行っている操作2014年6月28日現在、次の操作を自動的に行っています。機能追加等で将来変更される可能性があります。コメントをキャンセルメールアドレスが公開されることはありません。WordPress.。