メールフォーム.JP

CSRF対策

クロスサイトリクエストフォージェリ（CSRF）攻撃を防ぐため、トークンベースの検証システムを実装しています。

実装仕様

XSS対策

クロスサイトスクリプティング（XSS）攻撃を防ぐため、入力検証とサニタイゼーションを多層的に実装しています。

DOMPurifyによる追加サニタイゼーション

スパム対策

ボットや自動送信によるスパムを防ぐため、複数の対策を組み合わせています。

レート制限

データ保護

送信されたデータは暗号化され、安全に保管されます。

暗号化仕様

アップロード仕様

メールフォーム.JPは、セキュアで高速な画像アップロード機能を提供します。 以下の仕様に従って処理されます。

対応ファイル形式

アップロード制限

処理フロー

アップロードされたファイルは、以下のフローで処理されます。

1. ファイル受信 - multipart/form-dataで受信、一時メモリに保存
2. 検証処理 - MIMEタイプ、マジックナンバー、サイズ検証
3. ウイルススキャン - ClamAVによるリアルタイムスキャン
4. 画像処理 - EXIF削除、リサイズ（オプション）、最適化
5. ストレージ保存 - 暗号化してオブジェクトストレージに保存
6. URL生成 - 署名付き一時URLを生成（有効期限: 7日）

ストレージ管理

アップロードされたファイルは、高可用性のオブジェクトストレージで管理されます。

ストレージ構成

セキュリティ対策

画像アップロードは攻撃の標的になりやすいため、多層的なセキュリティ対策を実装しています。

攻撃ベクトルと対策

システム変数

システム変数は、フォーム送信時に自動的に設定される読み取り専用の変数です。 メールテンプレート内で {{variable_name}} の形式で参照できます。

フォーム変数

フォーム変数は、HTMLフォームの入力フィールドから自動的に取得される変数です。 name 属性の値が変数名として使用されます。

基本的な使用方法

<!-- HTMLフォーム -->
<input type="text" name="customer_name" />
<input type="email" name="customer_email" />

<!-- メールテンプレート内での参照 -->
お名前: {{customer_name}}
メールアドレス: {{customer_email}}

配列形式の変数

複数選択やファイルアップロードなど、配列形式のデータは特別な処理が行われます。

<!-- HTMLフォーム（複数選択） -->
<select name="interests[]" multiple>
  <option value="product_a">商品A</option>
  <option value="product_b">商品B</option>
</select>

<!-- メールテンプレート内での参照 -->
{{#interests}}
  - {{.}}
{{/interests}}

カスタム変数

カスタム変数は、JavaScriptを使用してフォーム送信前に動的に設定できる変数です。 隠しフィールドやメタデータの送信に使用されます。

実装例

document.addEventListener('DOMContentLoaded', () => {
  const form = document.querySelector('form');
  
  form.addEventListener('submit', (e) => {
    // カスタム変数を隠しフィールドとして追加
    const hiddenField = document.createElement('input');
    hiddenField.type = 'hidden';
    hiddenField.name = 'page_url';
    hiddenField.value = window.location.href;
    form.appendChild(hiddenField);
    
    // UTMパラメータの取得
    const urlParams = new URLSearchParams(window.location.search);
    const utmSource = urlParams.get('utm_source');
    
    if (utmSource) {
      const utmField = document.createElement('input');
      utmField.type = 'hidden';
      utmField.name = 'utm_source';
      utmField.value = utmSource;
      form.appendChild(utmField);
    }
  });
});

テンプレートエンジン仕様

メールフォーム.JPは、Mustache互換のテンプレートエンジンを使用しています。