FixVibe

// docs / scans

スキャンの種類

FixVibe は3種類のターゲットに対して3種類のスキャンを実行します。それぞれゲート条件、速度、影響範囲が異なるため、テスト対象に合うものを選んでください。

What does a passive URL scan check?

A passive scan reads your live app the way a browser does and runs 230+ checks: security headers, cookies, secrets in JavaScript bundles, Supabase and Firebase exposure, DNS and exposed files. It runs on every plan, against any URL, without sending attack input.

What does a verified-domain active scan add?

Once you verify a domain you own, active scans send bounded test input to confirm issues such as SQL injection, XSS, IDOR and broken auth flows — 130+ checks per scan. They run on the Hobby plan and higher.

Does FixVibe scan source code?

Yes. Connect a GitHub repository and a repo scan reviews its code, dependencies and repository security — 190+ checks per scan — without storing your source. Repo scans run on the Pro and Unlimited plans.

パッシブ

Available on every tier. A passive scan never sends crafted attack input; it fetches the URL like a normal browser and checks shipped responses, client assets, BaaS exposure, DNS, and public security posture against 230+ passive checks.

読み取り専用であるため、パッシブスキャンは任意の URL に対して実行できます。ドメイン検証も証明も不要です。その代わり深さには限界があり、入力を送信しないと発見できないものは検出できません。

パッシブで検出できるもの

  • 不足しているセキュリティヘッダー（HSTS、CSP、frame-options など）。
  • 安全でない Cookie 属性（Secure / HttpOnly / SameSite なし）。
  • 弱い TLS 設定、期限切れ証明書、HSTS preload の不足。
  • JS バンドル内のシークレット（Supabase service key、AWS key、Stripe sk_ など）。
  • 公開されたソースマップ、デバッグエンドポイント、OpenAPI 仕様、GraphQL introspection。
  • 開いた Supabase RLS / Firebase ルール / Clerk の設定不備。
  • DNS（サブドメイン乗っ取り、SPF/DKIM/DMARC の不足）。
  • 脅威インテリジェンス掲載（Spamhaus、URLhaus）。
  • 既知の CVE がある古いフレームワークバージョン。

アクティブ Hobby+

アクティブ スキャンは、明示的に許可した検証済みドメインに対して制限付き検証を実行します。これらは Hobby プランおよび上位層 (Pro、Unlimited) で利用でき、基礎となるプローブ レシピを公開せずに危険な動作を確認するように設計されています。

ゲートする理由: 証明フロー

アクティブプローブは理論上、本番環境に影響する可能性があります。応答の遅延、エラー増加、テストストアへの不要データ投入などです。そのため、次を求めます。

  1. ドメインを検証する — DNS TXT または HTTP ファイル（Account → Domains）で行います。
  2. 権限を証明する — スキャン開始時に、あなたに許可があることを1回確認します。サーバーは IP、ユーザーエージェント、タイムスタンプを付与し、audit_logs に書き込みます。

スケジュールされた再スキャンと API/MCP のアクティブな開始の場合、ドメイン認証は Dashboard → Domains から記録され、いつでも取り消すことができます。自動アクティブ スキャンでは、そのドメインに対して承認された安全レベルが使用されます。

GitHub リポジトリ Pro+

リポジトリ スキャンでは、デプロイされた URL テストがスキップされ、FixVibe GitHub App または OAuth 接続を通じてソースがレビューされます。これらは、ソース コードを保存せずに、信頼性の高いコード、依存関係、およびリポジトリのセキュリティ リスクを報告します。

リポジトリスキャンはリポジトリに書き込まず、ソースコードも永続化しません。保存されるのは検出結果の証拠だけです。クォータは URL スキャンと同じ scansPerMonth 枠です。

API からトリガーする

curl
curl -X POST https://fixvibe.app/api/v1/scans \
  -H "Authorization: Bearer fxv_..." \
  -H "content-type: application/json" \
  -d '{"target":"https://staging.example.com"}'

REST API と MCP はパッシブ スキャンを開始でき、Dashboard → Domains で明示的に承認された検証済みドメインのアクティブ スキャンを開始できます。完全な参照: /docs/api。

匿名の単発スキャン

ホームページでは、未登録の訪問者がブラウザセッションごとに1回だけパッシブスキャンを実行できます。これらのスキャンは作成から24時間後に期限切れになります。期限切れ前に登録すると実アカウントへ移行でき、認証コールバックが匿名スキャンを新しい org に自動で紐付けます。

スキャンの種類 — Docs · FixVibe