Replit（レプリット）は、これまでProおよびEnterpriseプランのみに限定されていたアクセス制御機能であるプライベートパブリッシングを、CoreおよびStarterプランのユーザーにも提供すると発表した。また、プライベートパブリッシングされた全てのアプリ向けに外部アクセストークンを導入し、アプリをインターネットに公開することなく、外部サービスとの安全な連携を可能にする。
Replitは、プライベートパブリッシングを、不正なリクエストがアプリケーションに到達する前にブロックするネットワークレベルの制御機能として位置付けた。同社によると、パブリッシングのアクセスレベルを選択すると、認証されていないユーザーからのトラフィックがアプリに到達することをプラットフォームが阻止するとのことだ。この機能は、個人用ツール、社内チームアプリ、限られたユーザーを対象とした初期プロトタイプなどに特に役立つと説明された。
非公開アプリにとって長年の課題の一つは、ウェブフックやコールバックといった外部連携機能との接続だった。Replitは、これまでこうした連携機能をサポートするにはアプリを公開する必要があり、セキュリティーと機能性のトレードオフが生じていたことを認めた。外部アクセストークンは、この問題の解決策として提示された。
外部アクセストークンは、信頼できるサードパーティーサービスに発行できる安全な認証情報として機能する。Replitによると、開発者はトークンを生成し、アクセスが必要なサービスにのみ提供できる。有効なトークンを含む受信リクエストは、プライベートアプリに転送される前にプラットフォームによって検証される。
非公開アプリの「Publishing」ペインの「Security」セクションに、新しい「External Access Tokens」セクションが追加された。このセクションでは、トークンの作成と管理が可能だ。トークンは開発環境または本番環境のいずれかに限定でき、作成者は識別ラベルを付けて一時的なアクセスの有効期限を設定できる。作成後、トークンの値は一度だけ表示されるため、GitHubやSlackなどの外部サービスで使うには、その時点でコピーする必要がある。
Replitは、外部サービスがトークンを使って認証を行う方法として、プラットフォームが推奨するHTTPヘッダー経由、またはURLクエリーパラメーター経由のいずれかを選択できると説明した。同社は、推奨される認証方法は外部サービスによって異なるため、設定手順については当該サービスのドキュメントを確認するよう推奨している。トークンの失効機能も利用可能で、簡単な操作でトークンを即座に無効化し、アプリケーションへのアクセス権を削除できる。
今回のアップデートは、Security Agentやオートプロテクトなど、プラットフォーム上の既存のセキュリティーツールと同時に提供され、アプリのプライバシーを保護しつつ統合機能を維持する必要のある開発者にとっての選択肢を拡大するものと位置付けられている。
出典：Replit
この製品の詳細については、Replit製品ページをご覧ください。
