LINEログインのセキュリティチェックリストLINEログインを組み込んだアプリの実装にあたっては、第三者からの攻撃を想定し、セキュリティの不備がないようにログイン機能を実装する必要があります。このページでは、LINEログインをアプリに組み込む時に、セキュリティの不備が無いようにするためのチェックリストを公開しています。開発したアプリをリリースする前に、チェックリストの内容を確認してください。window)」も併せて確認することをおすすめします。チェックリストの目的を理解した上で、安全なシステムを構築してくださいこのチェックリストには、LINEログインを実装する上で特に注意すべき点を抜粋して記載しています。チェックリストの内容を満たせば、セキュリティが担保されるわけではありません。危険性を十分に理解した上で、安全なシステムを構築してください。認可URLに付与するクエリパラメータのチェックリスト認証と認可のプロセスを開始する際に利用する、認可URLに付与するクエリパラメータについてのチェックリストです。認可URLのクエリパラメータについて詳しくは、「ユーザーに認証と認可を要求する」を参照してください。DevelopersコンソールのLINEログインチャネルにおける、[LINEログイン設定]タブ内の[コールバックURL]を指します。[コールバックURL]の設定方法について詳しくは、「LINEログインを始めよう」を参照してください。関連ページredirect_uriに指定したURLのURLスキーマには、特別な理由がない限りhttpsを使用しているか。window)redirect_uriとして有効なURLとは、以下に示すいずれかのURLであることを理解しているか。window)ユーザーに認証と認可を要求する[コールバックURL]に登録しているURLで受け取るクエリパラメータに、「任意のURLを受け取ってリダイレクトするようなクエリパラメータ」が存在しないか。Redirector)が存在しないことを確認したか。window)stateに指定した値を、SecureRandomなどの暗号学的に安全かつ第三者が予測できない方法で、ランダムかつユニークになるように生成しているか。window)ユーザーに認証と認可を要求するstateに指定した値を、以下に示すような、第三者がアクセス不能な場所に保存しているか。window)同一ユーザーがログインを試行する場合も、ログインをする度にstateに異なる値を指定しているか。コールバックURLに渡されたクエリパラメータのチェックリストコールバックURLに渡されたクエリパラメータについてのチェックリストです。コールバックURLに渡されるクエリパラメータについて詳しくは、「ウェブアプリで認可コードまたはエラーレスポンスを受け取る」を参照してください。関連ページstateの値が、認可URLで指定したstateと一致していることを確認しているか。アクセストークンを発行する際のチェックリストLINEログインAPIを利用してアクセストークンを発行する際のチェックリストです。アクセストークンの発行について詳しくは、「アクセストークンを発行する」および「アクセストークンを管理する」を参照してください。関連ページclient_secretで指定するチャネルシークレットが秘密情報であることを理解し、かつ第三者に知られないようになっているか。IDトークンやアクセストークンを使用する際のチェックリストLINEプラットフォームが発行した、IDトークンやアクセストークンを使用する際のチェックリストです。IDトークンやアクセストークンの発行について詳しくは、「IDトークンからプロフィール情報を取得する」および「アクセストークンを管理する」を参照してください。関連ページIDトークンやアクセストークンを検証しているか。アクセストークンの有効性を検証するIDトークンを検証するアクセストークンの検証に成功後、client_idプロパティとexpires_inプロパティの値が以下の条件を満たすことを確認しているか。バックエンドサーバーに、IDトークンやアクセストークンを送信して処理する際のチェックリストLINEプラットフォームから取得したユーザー情報を用いて、ユーザー登録やログインをする際のチェックリストです。安全なユーザー登録およびログインプロセスの概念について詳しくは、「アプリとサーバーの間で安全なログインプロセスを構築する」を参照してください。関連ページクライアントからバックエンドサーバーに対して、ユーザーIDなどの情報ではなく、生のIDトークンやアクセストークンを送信しているか。バックエンドサーバーでIDトークンやアクセストークンを検証するAPIを利用することで、ユーザーIDなどの情報を取得できます。アクセストークンを使用して新規ユーザーを登録するアクセストークンの有効性を検証するIDトークンを検証するクライアントからバックエンドサーバーに送信されたIDトークンやアクセストークンを検証しているか。