Palo Alto Networksは2026年8月3日（現地時間）、Googleの同期パスキー実装を狙う3つの新たな攻撃手法「Pass-ta-key」「Silver Pass-ta-key」「Golden Pass-ta-key」を公表した。 研究では、マルウェアによって侵害された「Windows」端末上で通常ユーザー権限で動作する攻撃コードが、パスキーの登録や復旧、信頼確認の仕組みを悪用し、利用者の操作や端末解除なしで認証を成立させたり、同期パスキーを保護する暗号鍵を取得して秘密鍵を復元したりできる可能性が示された。 同期パスキー実装の隙を突く3手法　暗号を破らず認証を突破 パスキーは公開鍵暗号を利用し、パスワードのような共有秘密を不要にすることで、フィッシングや認証情報の使い回しといった攻撃を防ぐ技術だ。Googleの同期パスキーでは、秘密鍵をクラウドの隔離環境で保護し、端末にひも付

GETでもPOSTでもない、第3のHTTPメソッドが標準化に進んだ。IETFが公開した「QUERY」は、検索専用のHTTPメソッドとして設計され、長年指摘されてきたURL長や検索APIの課題を解決することを目指す。新仕様の仕組みと実装への影響を読み解く。 インターネットの運用や利用に関する技術仕様の標準化を推進する国際的な任意団体Internet Engineering Task Force（以下、IETF）は2026年6月、HTTPの新たなリクエストメソッド「QUERY」の仕様を定義した技術文書「RFC 10008」を公開した。 RFC 10008は、将来的な正式標準を目指す「Proposed Standard（標準候補）」として位置付けられており、WebブラウザやWebサーバ、APIフレームワークなどでの実装を見据えた仕様となる。 HTTPでは長年、「GET」と「POST」という2つの

Astro 7.0リリース ―Rust製コンパイラで大幅に高速化⁠⁠、コーディングエージェントにも対応 Astro開発チームは2026年6月22日、Web開発フレームワークAstroの新バージョンAstro 7.0をリリースした。 Astro 7.0 | Astro Astro 7 is here! A new Rust compiler, a new Rust Markdown/MDX processor, Vite 8 and more. Get ready for 60%+ faster builds.https://t.co/RG0CPr6IUF — Astro (@astrodotbuild) June 22, 2026 Astro 7.0は心臓部となるコンパイラがこれまでのGoベースからRustに書き直され、MarkdownとMDXの処理はRustベースの新しいパイプラインで実

Agents have changed how we think about source control, file systems, and persisting state. Developers and agents are generating more code than ever — more code will be written over the next 5 years than in all of programming history — and it’s driven an order-of-magnitude change in the scale of the systems needed to meet this demand. Source control platforms are especially struggling here: they we

Electrobun aims to be a complete solution-in-a-box for building, updating, and shipping ultra fast, tiny, and cross-platform desktop applications written in Typescript. Under the hood it uses bun to execute the main process and to bundle webview typescript, and has native bindings written in zig. Visit https://blackboard.sh/electrobun/ to see api documentation, guides, and more. Project Goals Writ

Cloudflare、こんなに無料でいいんだろうか ― 「クラウド」の定義が書き換わったことに気づかない人々へ 全世界で数百万人が同時にアクセスするようなサービスを設計し、AWSに毎月、数十万から数百万円という「血の滲むようなコスト」を支払い続けてきた立場から言わせてもらえば、今のCloudflareが提示している世界観は、もはや「CDN」なんていう可愛い言葉で呼べるものではない。かつて私たちがオンプレミスからAWSへ移行した時に感じたあのパラダイムシフトが、今、Cloudflareという「Supercloud」によって、さらに残酷な形で繰り返されている。 あえて、いま提供されているサービスを地べたから天井まで並べてみるとこんな感じだ。Cloudflare DNS, CDN, WAF, DDoS Protection, Bot Management, SSL/TLS, Zero Trust

「InspirationCat」は、動物の画像をアップロードすると、AIで背景を除去して動物を切り抜き、拡大縮小・回転で調整した上で、集中線と重ねて“キュピーン”画像に編集・ダウンロードできるサービス。飼い猫のキュピーン画像を公開していた「むちゃまる（5）」（@neko_muchamaru）さんの投稿からヒントを得て開発したという。 ブラウザ完結の超軽量設計＋「Cloudflare Pages」活用 背景除去の処理には本来、サーバ上のGPUで動かすAIモデルが必要だ。「InspirationCat」では、背景除去ライブラリ「@imgly/background-removal」を通じて「ONNX Runtime Web」を利用することで、サーバではなくユーザーの端末上で直接実行した。 ONNX Runtime Webは、AI用の計算をブラウザ内のWebAssemblyやWebGPUで処理する

Clubhouseの二の舞か？　通話アプリ「POPOPO」の今後を不安視する声が絶えない理由（1/5 ページ） 通話アプリ「POPOPO（ポポポ）」が3月18日、鳴り物入りでサービスを開始した。有名人を起用し、高額懸賞を行うなど、近年登場したネットサービスとは気合の入り方が違うが、SNS上では冷ややかな反応が多々見られる。なぜユーザーとの温度差が生まれるのか。 突如現れた「通話アプリ」　POPOPOとは？ そもそもPOPOPOとは何か。POPOPOのキャッチフレーズは「カメラのいらないテレビ電話」だ。メタバース（仮想空間）での音声会話を中心に据えて、アバター（分身）ではなく、「ホロスーツ」と言い換えたバーチャルな容姿でやりとりできる。 会話をそのまま「番組」として、ラジオ感覚で配信できることもアピールポイントになっている。サービス面では、フォローした有名人と直接会話できる「抽選機能」も打ち

2026年3月7日、JAWS DAYS 2026にて「IPv4とVPCエンドポイント依存からの卒業。AWSの最新アップデートとIPv6サポートを活用した次世代Web配信アーキテクチャ」というタイトルで登壇させていただきました。 スライド公開 スライドは以下で公開しています。 セッション概要 DevelopersIOの本番環境で実践している、ネットワーク固定費を削減したAWS構成についてお話ししました。 コスト削減実績: Before: $303/月（ネットワーク固定費） 現在: $136/月（約55%削減） 将来: $0/月を目指す（IPv6完全移行時） これは「固定費の断捨離」です。トラフィックに応じた従量課金は別途発生します。 背景：なぜこの構成を選んだのか DevelopersIOは専任のシステム担当はおらず、有志が本業の合間に運用しています。そのため、ここ数年は費用対効果がよく、運

After several intense and incredible years building Bluesky from the ground up, I've decided to step back as CEO and transition to a new role as Bluesky's Chief Innovation Officer. In 2019, I set out to build an open protocol for social media, with the goal of enabling the development of a new generation of applications designed to empower users. The Bluesky app started off as a reference client f

【応用編以外は無料】OAuth/OIDCを背景まで手抜かりなく解説。基本概念、認可フロー、トークンの仕組み、セキュリティ機構など。Kawaiiイラスト満載で楽しく学びましょう！現在OIDC編まで執筆、イラスト制作中。

Vite 8.0 is out! ​ March 12, 2026 We're thrilled to announce the stable release of Vite 8! When Vite first launched, we made a pragmatic bet on two bundlers: esbuild for speed during development, and Rollup for optimized production builds. That bet served us well for years. We're very grateful to the Rollup and esbuild maintainers. Vite wouldn't have succeeded without them. Today, it resolves into

最近、Next.jsがどのようにCSRF対策をしているのかを考える機会がありました。 そんななかで色々と学んだことを今回は書きます。 CSRFとは 本題に入っていく前に、いま一度CSRFについて改めて復習しておきましょう。CSRF(Cross-Site Request Forgery)とは、ユーザーが意図しないリクエストを攻撃者が勝手に送信させる攻撃です。以下に攻撃の一連の流れを可視化しています。 sequenceDiagram participant User as ユーザー participant Bank as 銀行サイト (bank.example) participant Evil as 悪意のあるサイト (evil.example) User->>Bank: ログイン（セッションCookieを取得） User->>Evil: 悪意のあるページを開く Evil->>User: 自

そもそも、なぜ「SSL-VPN」サポート終了を決断したのか？ SSL-VPNの技術サポート廃止の発表は、多くの人々に驚きを以て迎えられた。競合他社から見ても、思い切った決断に感じられたかもしれない。読者の中にもかなりのユーザーがいることだろう。「使いやすさと、どこからでも絶対にVPNにつながる強みが評価されて、長らく多くの方に利用いただいていた。特に、コロナ禍を契機にリモートワークへのシフトが興った際には急速に普及が拡大した」と、フォーティネットジャパンの今井大輔氏は振り返る。 同氏が説明するとおり、FortiGateユーザーならライセンス購入なしで利用できる導入障壁の低さを背景に、SSL-VPNはこれまで業界トップクラスのシェアを誇っていた。しかし多くの方がご存じのとおり、近年はリモートワーク環境におけるVPNの脆弱性を突いた攻撃が頻発し、もはやVPN製品ではセキュリティに限界が来ている

Intro GPC (Global Privacy Control) の策定と実装が進んでいる。 このヘッダは、サービス、ユーザ、ブラウザ、全てにとって「無視することができない特別なヘッダ」となりつつある。 たかだか 1 という値を送るだけのヘッダに、何の意味があるのか? 失敗して歴史に消えつつある DNT と何が違うのか? 解説していく。 DNT 長らく問題視されていた "3rd Party Cookie" は、技術そのものではなく、「トラッキング」というユースケースに問題があった。 したがって、Web の歴史の前半では「トラッキングからの Opt-Out」という手段を、ユーザが手に入れるための戦いが繰り広げられていた。 GDPR などが求めた Cookie Banner などが、その最たる例の 1 つだ。しかし、どうしても UI は邪魔になるし、毎回 Deny を押すのも不便だ。 それ

Chrome 145 with the tabs shown to the side (vertical tabs) and a collapsed tab bar Vertical Tabs are available behind a flag in Chrome 145 (current Chrome Beta) UPDATE: The flag for this experimental feature moved up to Chrome 146 (current Chrome Canary). ~ The feature is available in preview behind a feature flag. First you need to flip the flag (to enable the feature) and then choose the vertica