NIERUのセキュリティ対策とパスワード管理について — 現状と課題を正直にお伝えします
情報漏洩のニュースを目にするなかで、「NIERUに預けた情報はどう扱われているのか」「パスワードはそのまま保存されていないか」と気になる方もいると思います。NIERUでは今回、実装と設定を確認し、見つかった問題の修正を進めました。この記事では、確認できた対策と改善内容、残っている課題を分けてお伝えします。
個人の管理用パスワードと、掲示板の参加者で共有する「合言葉」は、役割も保存方法も異なります。管理用パスワードは照合用のハッシュとして、管理者が再確認・共有する合言葉は暗号化して保存します。また、HTTPSによる通信の保護と保存データの保護も別です。「完全に安全」「情報漏洩は絶対に起きない」とはお約束できません。
確認日は2026年10月21日です。本記事は、NIERUの掲示板システムについて本番のコード・設定を確認した結果と、運営が把握している運用状況に基づきます。保存済みの全パスワードや全データを取り出した調査、全機能への侵入テストを実施したものではありません。別システムや外部サービスに、この説明をそのまま当てはめることはできません。
1. これまでの情報漏洩と、今回の確認について
運営が把握している範囲で、これまでNIERUの情報漏洩事故はありません。ただし、これは「未知の被害も含めて、一度も漏洩していないことを第三者が証明した」という意味ではありません。
運営担当者へのセキュリティ教育は実施しています。一方で、外部の専門会社による脆弱性診断・侵入テストは、これまで受けていません。今回の実装確認も、独立した第三者による診断や安全性の認証に代わるものではありません。
2. 通信の保護と、保存時の保護は別です
NIERUの掲示板・管理画面はHTTPSで利用できます。HTTPSは、対応する通信区間で送受信される情報を暗号化し、途中での盗み見や改ざんのリスクを減らす仕組みです。確認した管理画面では、HTTPSでの再接続をブラウザーに促すHSTSなどの設定も確認できました。
今回、NIERUの主要な配信設定を変更し、HTTPでアクセスした場合はHTTPSへ自動転送するようにしました。主要ページでも転送を確認しています。ただし、最初からHTTPで送った内容を、転送後にさかのぼって暗号化できるわけではありません。ブックマークやリンクにはhttps://から始まるURLを使ってください。
今回、配信を中継するサービスと本体サーバーの間も、HTTPSで接続する設定へ変更しました。本体サーバーの証明書を用意し、主要ページと接続機能の動作、自動更新の試験を確認しています。これは確認した配信経路の保護であり、外部サービスへの通信を含めた全経路の検査を終えたという意味ではありません。
通信をHTTPSにしても、サーバーに保存する情報まで自動的に暗号化されるわけではありません。今回、本番サーバーの稼働用ディスクを保存時の暗号化が有効なディスクへ移行しました。ただし、切り戻し用に保管している旧ディスクや過去のスナップショットまで暗号化済みになるわけではありません。権限を持つシステムからの読み出しもできるため、「保存しているデータはすべて暗号化され、誰にも読めない」とは説明できません。
3. 管理用パスワードはどう保存しているのか
掲示板管理者が通常の管理画面ログインに使うパスワードは、確認した登録・変更処理では、PHPのpassword_hashによるハッシュとして保存し、ログイン時にpassword_verifyで照合しています。現在の対象環境ではbcryptという方式が使われます。管理者が設定する削除人用パスワードにも、ハッシュによる保存・照合があります。
ハッシュは、元の文字列を取り出して読むための暗号化とは異なり、入力したパスワードが正しいかを照合するための値です。ハッシュから元のパスワードを復号する機能はありません。ただし、短いパスワードや使い回したパスワードは、候補を繰り返し照合して推測されるおそれがあります。ハッシュ化だけで安全になるわけではありません。
新規登録時は、初期管理パスワードそのものをメールで送る方式から、有効期限のある初回設定リンクを送る方式へ変更しました。新しいパスワードは、リンク先で登録メールアドレスを確認したうえで設定します。初回設定リンクの有効期限は24時間、パスワード再設定リンクは30分です。期限が切れた場合は再設定手続きから再発行してください。設定リンクは認証に関わる情報なので、他の人に転送しないでください。過去に送信した初期パスワードのメールが、自動的に回収・削除されるわけではありません。
今回、新しく設定・変更・再設定する管理パスワードと、新しく登録・変更する削除人用パスワードの条件を、15文字以上、UTF-8で72バイト以内へ変更しました。日本語は1文字が複数バイトになるため、入力できる文字数は文字の種類でも変わります。既存のパスワードによるログインは維持していますので、短いものや他サービスと共通のものをお使いの場合は、管理画面から変更してください。再設定は、元のパスワードを取り出す方式ではありません。
管理者のログイン用トークンと、初回設定・再設定の確認コードについても、データベースには照合用のハッシュを保存する方式へ変更しました。有効期限を設け、設定・再設定リンクの再利用を拒否します。一方、ブラウザーやメールには利用に必要な認証情報が存在します。あらゆるシステムの認証情報が同じ方式になったという意味ではありません。
4. 個別のパスワードと、掲示板共通の「合言葉」
投稿ごと・スレッドごとのパスワード
確認した現在の処理では、投稿の編集・削除用パスワード、スレッドごとの閲覧・レス投稿用パスワードは、ハッシュとして保存・照合しています。これはサーバー側での保存方法の説明です。次の項目で説明するブラウザーの入力補助とは、別に考える必要があります。
掲示板全体に設定する「合言葉」
掲示板全体の閲覧・スレッド作成・レス投稿に使う共通の文字列は、参加者で共有する「合言葉」として扱います。管理者が再確認・共有できる使い方を保つため、ハッシュ化ではなく、専用の鍵を使う認証付き暗号化で保存するよう変更しました。対象のページ別アクセス制限や旧方式のキャップ設定、データベース内の設定バックアップにも対応しています。
暗号化した合言葉は、権限を持つシステムが鍵を使って元の値に戻せます。「運営者も読めない」「アプリや鍵が侵害されても守られる」という意味ではありません。合言葉には、メール・SNS・他サービスのログイン用パスワードを使い回さないでください。共有する人が変わった場合などには、掲示板専用の合言葉を変更してください。移行前に作成された過去の運用バックアップが、すべて書き換わるわけでもありません。今回の移行前の情報を含む復旧用バックアップは、アクセスを制限して別途保管しています。
投稿者の目印となるトリップも、管理用パスワードとは異なる旧来の方式です。強いログイン認証と同等には扱えません。今回、名前欄の入力補助からトリップや旧方式のキャップに使う秘密部分を除き、保存しないようにしました。
5. ブラウザーへの入力内容の保存について
今回、NIERUの入力補助Cookieから、パスワード・合言葉・トリップの秘密部分の保存を廃止しました。入力内容を記憶する設定では、秘密部分を除いた名前とメールアドレスだけを保存します。そのため、投稿時などのパスワード・合言葉・トリップの秘密部分は、この入力補助から自動で再入力されなくなります。古い形式のCookieは、対応するページへアクセスした際に秘密の項目を取り除きます。利用していない端末に残る古いCookieまで、こちらから遠隔削除できるわけではありません。
入力補助Cookieの設定上の保存期間は最長1年で、Secure・HttpOnly・SameSiteの指定を付けています。これらは送信条件や読み出し方の保護で、保存内容自体を暗号化する機能ではありません。ブラウザー側のパスワードマネージャーが独自に保存する情報も、NIERUの入力補助Cookieとは別です。
ログイン状態・閲覧認証を保持するCookieは、入力内容の保存とは別の仕組みです。閲覧認証では署名付きの情報を使い、今回、古い平文形式を受け付ける互換処理を廃止しました。そのため、再度合言葉などの入力が必要になる場合があります。共用端末では入力内容を残さず、利用後にログアウトし、必要に応じてサイトのCookieを削除してください。
6. 不正な操作を減らすための仕組み
今回確認した管理画面や接続機能には、次のような対策が実装されています。ただし、これらは確認した処理の説明であり、全画面・全入力で弱点がないことを保証するものではありません。
- 権限と対象掲示板の確認：操作できる権限や対象の掲示板を確認し、管理画面や外部接続の操作範囲を制限しています。
- 不正なリクエストへの対策：管理操作では、別のサイトなどから意図しない操作を送られるリスクを減らすCSRF対策を使用しています。
- 入力・表示時の対策：確認した処理では、データベースに渡す値を分離する処理、入力値の検証、表示時の文字変換などを行っています。
- 認証状態の管理：通常の管理者ログインでは、期限と掲示板に結び付いたトークンを照合し、Cookieに保護用の指定を付けています。
- 認証・一部APIでの回数制限：管理者のログインや確認操作にも試行回数の制限を追加しました。AI接続などのAPIにも過剰な要求を制限する処理があります。すべての攻撃経路を防止できるという意味ではありません。
- 配信側のアクセス制限：確認した配信経路では、不審なIPアドレスなどのアクセスを制限するWAFを利用しています。すべての攻撃や、すべての経路を防げることを意味するものではありません。
「かんたんログイン」は、IPアドレスの一致だけで認証する方式を廃止しました。管理パスワードを再確認したうえで、そのブラウザーを30日間信頼する仕組みです。旧方式の登録は自動移行されないため、利用する場合は通常のログイン後に、そのブラウザーで改めて登録してください。登録の解除ができ、管理パスワードの変更・再設定でも登録を解除します。管理画面からログアウトすると、そのブラウザーの登録も解除します。自分専用の端末でご利用ください。通常の掲示板管理者とは別に運営用の管理経路はあり、すべての管理経路で多要素認証を必須にしているわけではありません。
管理画面でパスワードを変更した場合、変更を行ったブラウザーの管理者ログインは新しいセッションで維持し、ほかの管理者ログインを無効にします。パスワード再設定では、既存の管理者ログインを無効にします。また、管理者認証に基づく管理人・削除人モードも再認証が必要になります。別のパスワードを持つ削除人の認証は別管理です。従来のモードや閲覧認証を使っていた場合にも、今回の変更後に再入力が必要になることがあります。
掲示板の設定や権限によっては、投稿のHTMLや、デザインに使う外部スクリプトを許可する場合もあります。これらのコードがすべて無害化されるわけではありません。管理者が導入するタグや外部コードの安全性にも注意が必要です。
今回、閲覧者の表示設定は文字サイズや表示件数などの許可された項目に限定し、掲示板管理者が設定するアクセス制限などに影響しないよう見直しました。表示設定画面の変更操作にもCSRF検証を追加しています。一方で、「総当たり攻撃を確実に防げる」「24時間、すべての異常を人が監視している」といった説明はできません。
7. 投稿・添付ファイルと、運営が扱う情報
添付ファイルには、許可する種類の確認、実際のファイル形式の判定、容量制限、保存名の生成などの処理があります。画像の再変換や位置情報などのメタデータを取り除く処理もありますが、形式や処理結果による例外があるため、すべての添付で情報が完全に除去される、すべてのファイルでウイルス検査が済んでいる、とは説明できません。写り込んだ住所や人物など、画像の見た目に含まれる情報にも注意してください。
また、匿名で投稿できることと、運営側に識別情報が一切残らないことは違います。サービスの処理には、登録メールアドレス、投稿情報、IPアドレス、認証・操作に関する記録などを扱うものがあります。掲示板管理者が確認できる投稿者情報もあります。どの情報を誰が閲覧できるかは、機能や権限によって異なります。
閲覧パスワードは、運営者も読めない暗号化保管庫を作る機能ではありません。サーバー側で本文を扱う仕組みであり、管理上の権限による閲覧経路もあります。公開投稿は第三者に保存・転載される可能性があるため、住所、電話番号、本人確認書類、他サービスの認証情報などは投稿しないでください。すべての情報の保存期間・削除時期を、今回一律に確認できたわけではありません。
8. AI機能や外部サービスには、何が渡るのか
AI設定アシスタントでは、掲示板への接続を認めた場合、許可された設定や独自タグなどを外部AI側が参照し、設定案を作成できます。「設定情報を一切外部に送らない」仕組みではありません。一方で、管理パスワードや秘密情報を無制限に読み出せるようにする設計でもありません。
接続では、対象の掲示板、操作範囲、有効期限などを制限しています。AIが作るものは未適用の設定案で、掲示板への反映には管理画面での確認・適用が必要です。接続方式に応じて、接続情報のハッシュ化や暗号化、期限付きの認証などを使用しています。
下書き作成時に送信される「設定案の作成依頼内容」は、NIERU側で暗号化して保存し、運営者が品質改善・不具合調査・不正利用対策のために復号して確認できる記録があります。「暗号化しているので運営者にも読めない」という意味ではありません。
この依頼内容は、送信から30日経過後に定期削除する設定・処理です。今回、直近の定期処理が正常に終了した記録も確認しました。接続を解除したり下書きを破棄したりしても、保存期間中は記録が残ります。公開中のプライバシーポリシーでは、バックアップにも削除後最大7日間残る場合があると案内しています。
この30日という説明は、設定の現在値や下書き本体すべての保存期間を表すものではありません。また、外部AI事業者側の保存期間・データ利用条件まで同じという意味でもありません。
また、投稿を対象にするAIチェックなどは設定アシスタントとは別の機能です。外部AIに入力する内容や、広告・通知・外部リンク先などの取り扱いを一括して「外部送信なし」とは説明できません。AIへの依頼文には、パスワード、個人情報、秘密情報を含めないでください。
9. サーバーの管理とバックアップ
確認した本番サーバーでは、SSHのパスワード認証を無効にし、管理接続に認証を必要とする仕組みを使っています。また、公開用のファイルと内部ファイルを分ける構成や、変更前の対象をバックアップして保護する運用があります。ソフトウェアの更新・修正の記録もありますが、すべての構成要素が常に最新であることを今回保証したものではありません。
10月21日のメンテナンスでは、本番サーバーのOS関連パッケージ、PHP、Webサーバー、掲示板が使用するライブラリ、WordPressテーマを更新しました。更新後はPHP 8.5.11、Nginx 1.30.6、JIN:R 1.4.9となり、再起動後の稼働と主要機能を確認しています。WordPress本体は確認時点の現行版でした。データベース基盤側のOSメンテナンスや、互換性に影響する大きなバージョン変更は、今回の完了範囲に含めていません。
PHPについては、10月21日23時（日本時間）に追加の重要修正版が公開される予定との公式告知があります。この修正版は、日中のメンテナンスで適用済みとは扱っていません。公開後に内容と提供状況を確認して更新し、追加の停止が必要な場合は、別途お知らせで事前にご案内します。
アプリの接続先設定として確認したデータベース基盤では、保存時の暗号化、外部へ直接公開しない設定、7日間の自動バックアップ、誤削除防止が有効でした。確認当日のバックアップと復元可能時刻の情報も確認できています。これはデータベース基盤での保護であり、権限を持つシステムからデータを読み出せなくする機能ではありません。
また、添付などの配信元として確認した保存サービスでは、新規保存時の暗号化設定と、保存場所を直接公開しないための設定を確認しました。公開用の添付は配信経路から閲覧できるため、これを「投稿画像が非公開になる」という意味に受け取らないでください。既存ファイル全件を個別に調べたわけではありません。
本番サーバーの保存済みスナップショットも確認できました。ただし、個別のバックアップがあることだけでは、掲示板・データベース・添付ファイルなどの全体を確実に復元できる証明にはなりません。今回の確認範囲では、サービス全体を通した復元テストの実績までは確認できていません。
掲示板設定のバックアップには、保存後の内容を読み戻して照合する処理と、復元前に形式を確認する処理を追加しました。一部にあった不完全な旧バックアップは、元のデータを保護して残し、誤って復元に使わないようにしています。不完全なデータを修復できた、という意味ではありません。
確認した配信元の保存サービスでは、ファイルの世代を残すバージョニングや、一定期間の削除を防ぐObject Lockは有効ではありませんでした。全保存先の暗号化、バックアップの改ざん・削除への備え、復旧までの所要時間も一律には保証できません。バックアップは障害やデータ消失への備えであり、情報が外へ漏れること自体を防ぐ対策とは別です。
10. 今回の改善と、残っている課題
今回、合言葉の保存暗号化、入力補助Cookieからの秘密情報の除去、管理パスワードの条件、初回設定・再設定とログイン用トークンの保存、かんたんログイン、認証の試行回数制限、管理者モードの再認証、閲覧者設定の範囲と操作の検証を見直しました。HTTPSへの転送と配信元までのHTTPS接続、本番の稼働用ディスクの暗号化も行いました。それぞれの実装・動作確認と、サービス全体に弱点がないことの証明は別です。
公開中のプライバシーポリシーも、通信の暗号化、パスワードのハッシュ化、合言葉の暗号化を区別した説明へ修正しました。外部専門機関による診断、サービス全体の復元テスト、すべての管理経路での多要素認証、全添付ファイルのウイルス検査などは、実施済みとは案内していません。過去のバックアップや、端末・外部サービスに残る情報にも別の保護が必要です。
この記事で記載した課題があることは、情報漏洩が実際に発生したことを意味しません。一方で、把握している事故がないことも、課題を放置してよい理由にはなりません。攻撃に直結する接続先・秘密鍵・認証情報や、他の利用者の情報は公開せず、利用者の判断に必要な保存方法と限界を説明しています。
11. 利用者の皆さまにお願いしたいこと
- 他サービスのパスワードを使い回さないでください。管理用には長く推測されにくい固有のパスワードを使い、掲示板共通の合言葉とも分けてください。
- 登録メールアカウントと端末も保護してください。利用できる場合はメール側の多要素認証を有効にし、OSやブラウザーを更新してください。
- HTTPSでアクセスし、共有端末に認証情報を残さないでください。ログイン状態と入力内容の保存は別なので、両方に注意してください。
- 投稿やAIへの依頼文に秘密情報を入れないでください。パスワード付きの掲示板も、機密情報を保管するための専用サービスではありません。
- 不審な変更や、他人の情報が見える状態に気付いたらご連絡ください。確認のために他人の情報をさらに閲覧・取得したり、問題を公開の掲示板へ詳しく書き込んだりすることは避けてください。
セキュリティ上の問題にお気付きの場合は、NIERUのお問い合わせフォームへ、対象URL、発生日時、起きたことをお知らせください。パスワードそのものや、第三者の個人情報は送らないでください。確認に必要な情報を整理したうえで対応します。
参考資料
ハッシュ化の一般的な仕組みについては、PHP公式マニュアル：password_hash、PHP公式マニュアル：password_verify、OWASP：Password Storage Cheat Sheetもご参照ください。これらは技術の説明であり、NIERU全体の安全性を認定する資料ではありません。