【web・セキュリティ】Herokuでのファイル流出の危険性について

Question

お世話になっています。下記質問です。

知りたいこと

Herokuでのファイル流出の危険性はどれほどでしょうか？
防止するにはどうすればよいでしょうか？

経緯

今、DjangoでwebサイトをHerokuで公開しようとしているのですが、書いたPythonファイルの中身（コード）が他者に覗かれたりしないのか気になっています。
そこで、ファイル流出について少しググってみたのですが、下記のようなページに行き着きました。

https://upfsecurity.co.jp/pmark/5075/
https://thinkit.co.jp/cert/tech/7/2/4.htm

ここでは以下のしくじりについて触れられています。

・公開領域にファイルを置いてしまった
・（テキスト形式で表示されてしまう）バックアップファイルやインクルードファイルをサーバに設置してしまった

Herokuでもこういうことが起きうるのかと思ってさらに調べていたのですが、これ以上詳しく解説されたページは見当たりませんでした。

なんとなく、Herokuには公開領域とか非公開領域とかは無いような気もしますし、そもそもGitでデプロイするのでバックアップファイルも生まれなさそうなのですが、認識に間違いがあればご指摘願います。

以上、よろしくお願いします。

Answer 1

まず前提ですが、質問の内容の
・heroku を使用することによる流出リスク
と
・参考にしたサイトの流出原因
は全く別物です。

heroku を使用することの流出リスクを考えるのであれば、PaaS をどのようにリスク判断すべきか？という観点で調査する必要があります。

参照すべき情報はこのあたりになります。
Announcing PCI Compliance for Heroku Shield

後者の参考にされているサイトの流出原因はご自身で記述されている通り「しくじり」なので、インフラの仕様を知ることが重要です。インフラの仕様を知ることは、heroku を使用する以外のケースでも必須なので、ちゃんと学習してください。

余談
公開領域とは一般的にDocumentRoot以下のディレクトリを指します。
heroku でも設定で指定できるので、リファレンスを確認してみると良いです。

Comments

[退会済みユーザー]

ご回答ありがとうございます。
考え方の部分まで教えていただき、大変勉強になりました。
Heroku固有の部分についてもう一度調べてみます。