メインコンテンツへスキップ
友田 陽大

無料・登録不要・20問

AIで作ったアプリ、公開して大丈夫か診断します

Claude Code や Cursor、Lovable で作ったアプリを、公開する前に確認するための20問です。コードを読む必要はありません。「はい」「いいえ」「わからない」で答えると、危険な順に並んだ結果と、そのままAIに貼れる修正指示が出ます。

入力内容はブラウザの外に出ません(送信も保存もしません)

回答済み0 / 20

パスワード・APIキー

「鍵」を他人に見える場所に置いていないか。AIは動かすことを優先するので、手っ取り早く動く場所に鍵を置きがちです。

  • 致命的Supabase の「service_role」キーやデータベースのパスワードを、ブラウザ側に出る場所(`NEXT_PUBLIC_` で始まる環境変数など)に置いていませんか?
  • 重要APIキーやパスワードを、コードの中に直接書いたり、GitHub にアップロードしたりしていませんか?(`.env` ファイルがリポジトリに入っていないか)
  • 推奨AIとのチャット画面・スクリーンショット・公開リポジトリなど、他人が見得る場所に一度でも出た鍵を、作り直しましたか?

データベースの権限

最も事故が多い領域です。設定を1つ忘れるだけで、全ユーザーのデータが誰でも読める状態になります。

  • 致命的データベースのすべてのテーブルで RLS(誰がどの行を見られるかを決める設定)が有効で、かつ「ログインした本人の行だけ」に絞られていますか?
  • 重要データの書き込み(新規作成・更新)にも制限がかかっていますか?(他人になりすましたデータを作れない状態になっているか)
  • 重要データが消えたり壊れたりしたときに、元に戻せるバックアップがありますか?

ログインと権限

「ログイン画面がある」ことと「他人のデータが見えない」ことは別の話です。

  • 致命的URLの一部(例:`/orders/123` の 123)を他人の番号に書き換えても、他人のデータが見えない状態になっていますか?
  • 重要管理者向けの画面や操作(全ユーザー一覧、削除、返金など)が、一般ユーザーからは実行できないようになっていますか?
  • 推奨メールアドレスの確認とパスワード再設定が、本番環境で実際に動きますか?
  • 推奨ログアウトが確実に効き、放置したセッションがいつかは切れるようになっていますか?

決済

お金が動く部分は、間違いが即座に返金・信用の問題になります。決済機能がなければすべて「はい」で構いません。

  • 致命的決済サービスからの通知(Webhook)が同じ内容で2回届いても、二重に課金・二重に付与されないようになっていますか?(決済機能がなければ「はい」)
  • 重要支払う金額を、ブラウザから送られてきた値ではなくサーバー側で決めていますか?(決済機能がなければ「はい」)
  • 重要決済サービスからの通知が本物かどうか、署名を検証していますか?(決済機能がなければ「はい」)

他人の情報を預かる以上、日本の法律で決まっている義務があります。

  • 重要プライバシーポリシー(個人情報の取扱いについて)を掲載していますか?(メールアドレスを1つでも預かるなら必要です)
  • 重要有料で提供するなら、特定商取引法に基づく表記を掲載していますか?(無料のみなら「はい」)
  • 推奨必要以上の個人情報を集めていませんか?また、ログやエラー通知に個人情報が入っていませんか?
  • 推奨利用者から「アカウントとデータを削除してほしい」と言われたときに、実際に削除できますか?

運用・お金・復旧

公開後に効いてくる部分です。請求の暴走と「戻せない」は、個人開発で最も痛い2つです。

  • 重要クラウドサービスやAPIの使用量に、上限や請求アラートを設定していますか?
  • 推奨本番でエラーが起きたことに、利用者から言われる前に気づけますか?
  • 推奨デプロイして壊れたとき、すぐ前のバージョンに戻せますか?

診断結果

まだ回答がありません。上の質問に答えると、ここに判定と、対応が必要な項目が危険な順に表示されます。

この診断は自己申告のチェックであり、実際のコードを読んだ結果ではありません。「はい」と答えた項目が本当に正しく実装されているかまでは確認できません。お金や個人情報を扱うアプリは、公開前に人の目を通すことをおすすめします。

この診断について

20問で、危険な順に洗い出します

AIは動くコードを速く書きますが、「誰がどのデータを見られるか」「二重に課金されないか」「壊れたとき戻せるか」は、指示しない限り実装しません。この診断は、その抜けやすい部分だけを非エンジニアの言葉で聞きます。

  1. 1

    1. 20の質問に答える

    「はい」「いいえ」「わからない」の3択です。コードを読む必要はありません。分からない項目は正直に「わからない」を選んでください——未確認は未対応と同じくらい危険なので、その前提で採点します。

  2. 2

    2. 危険な順に並んだ結果を見る

    致命的・重要・推奨の3段階で並びます。「致命的」が1つでも残っている間は、スコアがいくつでも「公開しないでください」と表示します。

  3. 3

    3. AIに貼って直す

    各項目に、そのまま Claude Code や Cursor に貼れる修正指示が付いています。まとめて1通にコピーすることもできます。自力で直せない項目だけ、人に相談してください。

FAQ

  • コードが読めなくても使えますか?

    はい。この診断は、コードではなく「アプリがどう動くか」を聞きます。たとえば「URLの番号を書き換えたら他人のデータが見えないか」といった質問です。分からない項目は「わからない」を選んでください。その項目は未確認としてリスクに数え、確認の仕方を結果に表示します。

  • 入力した内容はどこかに送信されますか?

    いいえ。回答も結果も、すべてあなたのブラウザの中だけで処理されます。サーバーへの送信も、保存も、メールアドレスの入力も一切ありません。ページを閉じれば回答は消えます。

  • 「わからない」ばかりでスコアが低いのですが、危険ということですか?

    「まだ危険かどうか判定できていない」という意味です。この診断では「わからない」を「いいえ」の0.7倍のリスクとして数えます。確認していないことを安全とみなすと診断の意味がなくなるためです。まずは「致命的」の項目から確認してみてください。

  • 全部「はい」なら公開して大丈夫ですか?

    この診断がカバーしている範囲では大きな抜けが無い、という意味です。ただしこれは自己申告のチェックであって、実際のコードを読んだ結果ではありません。たとえば「RLSを設定した」と答えていても、その内容が本当に正しく絞れているかまでは確認できません。お金や個人情報を扱うなら、公開前に人の目を通すことをおすすめします。

  • Claude Code / Cursor / Lovable / v0 / Bolt のどれで作っていても使えますか?

    はい。設問は特定のツールではなく、AIが生成したアプリに共通して起きる抜けを対象にしています。ただしバックエンドを自動生成するタイプ(Lovable、Bolt、v0)は、データベースの権限設定が見えないまま公開されやすいので、「データベースの権限」の項目を特に丁寧に確認してください。

  • 結果を見たあと、自分で直せない項目はどうすればいいですか?

    各項目に付いている「AIへの修正指示」を Claude Code や Cursor に貼ると、多くは自力で直せます。それでも判断がつかない場合(特に認可の設計、決済、個人情報の扱い)は、公開前ライト診断(¥29,800〜、約3営業日)でエンジニアが実際にコードを読んで判定します。まずは無料相談からで構いません。

自力で直せない項目が残ったら

特に「認可の設計」「決済」「個人情報の扱い」は、AIに聞いても正解が1つに決まらない領域です。実際のコードを読んで、あなたのアプリで何が起きるかを判定します。私自身 Claude Code で本番のB2B SaaS を作っている実務者なので、AIで作ったこと自体を否定はしません。

コードが読めなくても大丈夫です。リポジトリの共有方法からご案内します。