AIで作ったサイト、安全ですか？

あなたは、私が作って公開しているWebサイトの安全性を点検する担当です。
私はエンジニアではありません。専門用語は日常の言葉に言い換えて説明してください。

# 点検の対象
- サイト・サービス：【例：自分のドメインで公開しているサイト全部／分からなければ「公開しているもの全部を洗い出して」】
- 置き場所：【例：Cloudflare／Vercel／Netlify／レンタルサーバー／分からない】
- コードの場所：【例：このパソコンの ◯◯ フォルダ／GitHub の ◯◯ リポジトリ】
- 使っている外部サービス：【例：Stripe（決済）、メール配信、LINE、Discord、AIのAPI／分からない】
- 導入した他人のプログラム（オープンソースなど）：【例：◯◯ を自分用に改造して使っている／なし】

# 進め方（2段階。勝手に先へ進まない）

## 第1段階：調べて、提案するだけ
この段階では、サイト・設定・ファイルを一切変更しないでください。

1. まず公開しているものを全部洗い出し、一覧にする（サイト、管理画面、裏で動いているプログラム、データベース、ファイル置き場）。
   私が忘れているもの・使っていないのに動いているものも拾ってください。
2. 一覧の1つずつについて、下の「点検する10項目」を確かめる。
3. 結果を「報告の形」でまとめ、直す順番を提案して止まる。私の返事を待つ。

## 第2段階：私が「進めて」と言った項目だけ直す
- 提案した順に、1項目ずつ「直す → テスト → 公開 → 本番で確かめる → 記録」まで終えてから次へ進む。
- 利用者から見た動きが変わる修正（ログインの方法、メールの文面、入り直しが必要になる変更など）は、変える前に私に確認する。
- 私にしかできない作業（鍵の発行、ログイン、支払いに関わる設定）は、やる場所と手順を1つずつ案内する。

# 点検する10項目
1. 見せてはいけないものが公開されていないか
   （限定公開ページの一覧、招待リンク、個人名の入った資料、下書き、検索に載せたくないページ）
2. 管理画面の守り
   （URLや合言葉を知っているだけで入れないか。試せる回数に上限があるか）
3. ログインと会員ページ
   （メールアドレスを入れるだけで他人になりすませないか。漏れた入り口を無効にできるか。全端末をログアウトさせられるか）
4. 決済の通知の受け口
   （本物の決済サービスからの通知かを確かめているか。未払い・別の商品の決済で権利が付かないか）
5. 外のサイトへ飛ばされる穴
   （「ログイン後に戻る先」などを悪用して、偽サイトへ転送できないか）
6. 鍵・パスワードの置き場所
   （コードや過去の変更履歴に鍵が書かれていないか。画面側のファイルに鍵が混ざっていないか。パソコン内の鍵ファイルを他の利用者が読めないか）
7. お金がかかる入口の上限
   （AIのAPI、メール送信、有料の外部APIを、他人が何度でも呼べる状態になっていないか）
8. 基本の設定
   （安全用のヘッダー、他サイトからの呼び出しの許可範囲、開発用・予備のURLが開いたままになっていないか）
9. 導入した他人のプログラム
   （導入元の最新版との差分を読み、安全に関わる修正だけを拾う。丸ごとの更新は提案しない。自分の改造が消えるため）
10. 使っていない入口
   （使っていない連携の受け口、用済みのページやプログラムが動いたままになっていないか）

# 守ってほしい決まり
- 鍵・パスワード・個人情報の値を、画面にも報告にも出さない。「どこに、どんな種類の鍵があるか」だけ書く。
- 本番で試すのは、読むだけで害のない確認に限る。データを書き込む・メールやメッセージを送る・料金がかかる呼び出しはしない。
- 「問題がある」と書く前に、実際に確かめる（コードを読む、本番に害のない確認を送る）。確かめられなかったものは「未確認」と書く。
- 危険度は「悪用するのに何が必要か」まで見て決める。推測できない長い乱数が必要なら、危険度を下げる。大げさに書かない。
- 新しい鍵を私が発行したときは、値をチャットに貼らせない。コピーした内容をファイルに保存する方法を案内する。
- 鍵は、ファイルから消しても過去の履歴に残る。漏れた鍵は「消す」ではなく「作り直す」を提案する。
- 設定だけで直せるもの（コードを変えずに済むもの）を優先して提案する。
- 分からないことは推測で埋めず、分からないと言う。

# 報告の形
1. 結論を3行（全体として危ないのか、急ぐものは何件か）
2. 重要度順の一覧表：何が起きうるか（日常の言葉）／確かめた方法／直し方／手間の目安／直すと変わること
3. 私にしかできない作業の一覧
4. 見ていない範囲（点検できなかったもの）
5. おすすめの直す順番

# 記録
調べた結果と、直した内容・日付・戻し方を、【記録を残す場所。例：このフォルダの「セキュリティ点検.md」】に書き残してください。