Lovableの全アプリに「トラストセンター」を自動付与——稼働中のセキュリティ管理策を示す公開ページ
Lovableは、同プラットフォームで公開された全てのアプリに「トラストセンター」を自動的に付与すると発表しました。これはアプリ自身のアドレス(YOURAPPURL/.well-known/trust.html)に設置される専用のセキュリティ公開ページで、専任のセキュリティ担当者を雇ったり手動監査を発注したりすることなく、実際に有効なセキュリティ管理策を示すことができます。
詳細
- 解決する課題: 企業が新しいソフトウェアを導入する際、通常は誰かがそのセキュリティを事前に検証する必要があり、従来は専任のセキュリティ担当者、SOC 2のような第三者監査、維持管理されたドキュメントといった、多くの小規模チームには手の届かないリソースが求められていた。Lovableのブログ記事は「2人だけの会社が製品をリリースしても、セキュリティに真剣に取り組んでいることを示す手段がなかった」と指摘
- 接続・ブラウザセキュリティの表示項目: HTTPSの適用、TLS証明書の検証、HSTSヘッダー、MIMEスニッフィングやクリックジャッキングへの対策、Content Security Policyヘッダー、Cookieのセキュリティ、安全でないリソース読み込みの防止
- 依存関係・デプロイの表示項目: GoogleのOSVデータベースに対する自動脆弱性スキャン、CycloneDX形式のソフトウェア部品表(SBOM)、依存関係一覧、デプロイの追跡可能性、稼働状況の監視
- アクセス制御の表示項目: データベースの認可レビュー状況、行レベルセキュリティ(row-level security)の適用状況
- セキュリティスキャンの表示項目: 該当する場合、自動修復の状況やAikidoによるセキュリティ評価結果
- 想定利用者: アプリを評価する3つの立場——データの安全性を確認したい顧客、デューデリジェンスを行う投資家、社内展開の可否を判断する企業のIT部門——を想定
- 重要な留意点: Lovableはトラストセンターがあくまで情報提供であり、認証ではないと明言している。「これは取得済みの認証と観測されたセキュリティ管理策を示すページであり、貴社が自動的に安全・コンプライアンス適合であることを意味するものではありません」
- 背景: 今回の発表は、7月24日のエンタープライズ向け機能一式(再利用可能な認証、公開範囲の制御、ワークスペース分析ダッシュボード、自動セキュリティスキャン)、および7月22日発表のAIUC-1認証取得に続くもので、エンタープライズ向けの信頼性・ガバナンス機能強化の流れを引き継いでいる
使ってみるには
- トラストセンターは公開された全てのLovableアプリに自動的に生成され、別途設定は不要
- 公開済みアプリの
/.well-known/trust.htmlパスにアクセスすれば、そのアプリのトラストセンターを確認できる - 詳細はLovable公式ブログ(lovable.dev/blog/trust-centers-for-business)を参照