問い合わせフォームのPDF・画像を安全に扱う方法

検討すべきこと

業務に必要な形式とサイズ上限を決めます。OWASPはブラウザーからの種類情報だけに頼らない多層の検証を推奨しています。PDFや画像という拡張子が安全性を保証するわけではありません。

確認の進め方

公開ディレクトリ外に保存し、読み出し時に権限を確認します。保存IDはシステムで生成し、日付、会社、メールは担当者が検索する非公開の索引に置き、公開URLに露出させません。

次の対応

送信ごとに参照番号を付け、添付の状態を記録します。メールに失敗しても、担当者が無関係な顧客ファイルを開かずに対象を見つけられるようにします。保存期限と削除担当も決めます。

実行チェックリスト

• サーバーで形式とサイズを検証
• 添付を非公開に保存
• 送信IDで関連付け
• 閲覧と削除の責任を定義

よくある質問

担当者用に公開リンクを作ってもよいですか？

認証付きの取得方法など、承認された非公開経路を使ってください。推測しにくいURLは権限制御と同じではありません。