点検日和

点検日和（てんけんびより）：生成AIで作ったアプリの公開前チェック。公開する前に、
ひと点検。

点検日和は、生成AIで作ったWebアプリの公開前の品質のうち、事故になりやすい点（APIキーの漏れ、データベースのアクセス制限〈Supabase の RLS〉、パッケージの既知の脆弱性など）を、ブラウザーの中で無料で点検し、見つけた点を、あなたのAI（Claude Code・Codex など）に直させるプロンプトを出す日本語のツールです。自分で直せないときは、本ツールの運営者（Qz AI Labs）の「AI製コードの診断と修復」で人が診断して直します。

Claude Code・Codex・Cursor・Lovable・Bolt・v0 などで作ったアプリ（バイブコーディング・AI駆動開発で作ったもの）のフォルダか ZIP を選ぶか、GitHub の URL を入れるだけで、セキュリティのうち事故になりやすい点をチェックします。見つけた点をあなたのAIに直させるプロンプトを、あなたの Claude Code や Codex に貼れば、そのまま直せます。

  • 無料点検も、あなたのAIに直させるプロンプトも無料です。登録も要りません
  • あなたのアプリのソースコードは預かりません点検するアプリのソースコードは、あなたのブラウザーの中で読むだけです。選んだファイルも GitHub のコードも、本ツールの運営者に送ったり、保存したり、ほかの人に渡したりしません
  • 大事な順に並べます「公開中なら今すぐ直すもの」「公開前に直すもの」の順に並べます

どんな作りのアプリでも、APIキーの漏れと、セキュリティヘッダー（ブラウザーにセキュリティ設定を伝える情報）を点検します。JavaScript・Python のパッケージを使っていれば、パッケージの脆弱性を、点検のたびにその時点の最新の情報と照らし合わせます。Supabase を使っていればデータベースのアクセス制限を、Next.js・Vite ならソースマップ（元のコードを読めるようにするファイル）の公開を、Stripe なら支払いの通知の扱いを、追加で確かめます。

1. アプリのファイルを選ぶ

ここにアプリのフォルダか ZIP をドラッグするか、ボタンで選んでください。

パッケージが入るフォルダ（node_modules など）は読みません。フォルダを選んだときは、Git に入れないと決めたファイル（.gitignore に書いたもの）も読みません。

誰でも見られる（公開の）リポジトリの URL を入れてください。ブランチや、下のフォルダの URL も使えます。非公開のリポジトリは、GitHub の「Code」→「Download ZIP」で ZIP を落として、上のボタンで選んでください。

点検するアプリのソースコード（選んだファイルや、GitHub から読み込んだコード）は、あなたのブラウザーの中で読むだけです。本ツールの運営者には送らず、保存もしません。ほかの人に渡すこともありません。フィードバックは、送る中身をそのまま画面でお見せし、「送る」を押したときだけ送ります（規則の番号と答え、書いた場合は一言やメールアドレスなど。アプリのソースコードは送りません）。GitHub の URL を入れたときは、あなたのブラウザーが GitHub から直接読み込みます（本ツールの運営者のサーバーを通りません）。点検の処理はあなたのブラウザーの中で行い（パッケージの脆弱性を調べるときだけ、パッケージの名前とバージョンを OSV に問い合わせます）、ページを閉じると、読み込んだコードは残りません。

パッケージの脆弱性を調べるときに送るもの：アプリが使っているパッケージの名前・バージョン・種類（npm・PyPI）だけを、このブラウザーから OSV（Google が運営する、既知の脆弱性の無料のデータベース）へ直接送ります。コード・シークレット・ファイルの名前や中身・リポジトリの URL は送りません。本ツールの運営者のサーバーも通りません。会社の中で作ったパッケージなど、パッケージの公開の置き場（npm・PyPI）から入れたと分からないパッケージの名前は送らず、手元の一覧で照らし合わせます。

ページの使われ方（点検した回数など）だけを Google アナリティクスで数えています。リポジトリの URL・ファイルの名前や中身・パッケージの名前やバージョン・見つかった点は送りません。

点検日和は、使う人のフィードバックを受けて、点検を良くし続けています。指摘が違っていたときや、見逃しに気づいたときは、ボタン1つでフィードバックをお送りください。送る前に、送る中身をそのまま画面でお見せします。アプリのソースコードは送りません。

使い方

  1. ファイルを選ぶ

    アプリのフォルダか ZIP を選ぶか、GitHub の公開リポジトリの URL を入れます。

  2. 結果を見る

    見つけた点が、大事な順に並びます。コードだけでは分からないことは、質問に答えると結果に反映します。

  3. 今の状態を残す

    直す前に、Git で今の状態を保存（コミット）しておきます。直したあとにうまく動かなくなっても、元に戻せるようにするためです。

  4. 直させるプロンプトを貼る

    アプリのフォルダで Claude Code や Codex を開き、直させるプロンプトを貼ります。サービスの管理画面での操作（シークレットの無効化・更新など）は、手順に沿ってご自分で行います。

  5. もう一度点検する

    直したら、もう一度ここで点検して、見つかった点が消えたか確かめます。

点検日和でできること・できないこと

できること

  • アプリのフォルダ・ZIP・GitHub の公開リポジトリの URL から、コードを読み込んで点検します。無料で、登録も要りません
  • ファイルに書かれた内容から、APIキーの漏れ・パッケージの既知の脆弱性・データベースのアクセス制限（Supabase のとき）など、事故になりやすい点を点検し、大事な順に並べます。APIキーはどんな作りでも、パッケージは JavaScript・Python で、Supabase・Next.js・Vite・Stripe を使っていればそれぞれに合わせて確かめます
  • パッケージの脆弱性は、点検のたびに、その時点の最新の情報と照らし合わせます
  • 見つけた点を、あなたのAI（Claude Code・Codex など）に直させるプロンプトを、1件ごとと、まとめての両方で出します。Claude Code や Codex に貼って直せます
  • サービスの管理画面での作業（シークレットの無効化・更新など）は、ご自分で行う手順を示します
  • ログインの確かめ・決済の通知など、コードの意味を読む必要がある点は、あなたのAIで確かめるプロンプトを出します
  • コードだけでは分からないことは、質問に答えると結果に反映します
  • 直したあとにもう一度点検して、見つかった点が消えたかを確かめられます
  • 読める量は、ファイル5,000個・合計60MBまでです（1つのファイルは512KB、パッケージのバージョンを記録したファイル〈package-lock.json など〉は10MBまで）

できないこと

  • 非公開の GitHub リポジトリを URL で読むこと。「Code」→「Download ZIP」で ZIP を落として選んでください。GitHub 以外のサイトの URL も読めません
  • アプリを自動で直すこと。直すのは、あなたのAI（Claude Code・Codex など）です
  • 安全の保証や、点数づけ。見逃しも、問題でない点を指摘することもあります
  • アプリを実際に動かしての確かめ、公開中のサイトへの外からの確かめ
  • サービスの管理画面にしかない設定（Supabase・Vercel の設定、Firebase のルールなど）の確かめ
  • 公表されたばかりで、まだ脆弱性のデータベースに載っていない脆弱性を見つけること。バージョンが分からないパッケージの脆弱性も照らし合わせられません
  • 直したあとに、アプリが今までどおり動くかの確かめ
  • 結果を残すこと。ページを閉じると、読み込んだコードも結果も残りません

点検日和の対象は、生成AIがコードを書いたアプリです。アプリの中に組み込んだAIの答えが正しいかどうかは確かめません（違いは「AIでつくる」と「AIを組み込む」の違いをご覧ください）。点検で確かめることの細かい範囲は、この点検で確かめること・確かめないことをご覧ください。公開前に確かめることは、記事でもまとめています。

この点検で確かめること・確かめないこと

ファイルに書かれた内容から分かる範囲を点検します。指摘がなくても、問題がないとは限りません。

確かめること

  • APIキーの漏れ：シークレット（APIキー・パスワード・トークン・Webhook 署名シークレット・秘密鍵など）、他人に知られると悪用されるものがファイルに書かれていないか。シークレットを書いておくファイル（.env）が Git に入っていないか。ブラウザーに公開される名前の設定（NEXT_PUBLIC_・VITE_ などで始まるもの）に、シークレットを入れていないか
  • 公開の設定：公開した画面から元のコードが読めてしまう設定（ソースマップ。Next.js・Vite の設定を見ます）と、セキュリティヘッダー（ブラウザーにセキュリティ設定を伝える情報）がファイルにあるか
  • パッケージ：アプリが使っている、ほかの人が作ったプログラムのバージョンが決まっているか。そのバージョンに、公表されている重い脆弱性（攻撃に使われるおそれのある不具合。重大・高のもの）や、乗っ取られたバージョンがないか。JavaScript と Python のパッケージを、点検のたびに最新の情報と照らし合わせます
  • 使っているときだけ追加で：Supabase のデータベースのアクセス制限（誰がどのデータを読み書きできるかの設定。RLS・ポリシー・関数を SQL のファイルから読みます）、Next.js の古いバージョン、Stripe の決済の通知の手がかり

確かめないこと

  • パッケージの軽い脆弱性。バージョンが分からないパッケージや、会社の中で作ったパッケージの脆弱性。重さが分からない脆弱性は、数だけを伝えて指摘には含めません
  • 公表されたばかりで、まだ脆弱性のデータベースに載っていない脆弱性。最新の情報に問い合わせられないときは、手元の一覧で照らし合わせます（その一覧にないパッケージは照らし合わせられません）
  • Firebase のルールや、ほかのデータベースのアクセス制限。Supabase・Vercel など、サービスの管理画面にしかない設定
  • ログインの確かめ・決済の通知・入力の扱いなど、コードの意味を読む必要がある点。「確かめるプロンプト」で、あなたのAIに確かめてもらってください。ファイルの書き方から言えるものだけは指摘します
  • アプリを実際に動かしての確かめ、公開中のサイトへの外からの確かめ
  • テストや見本のファイルの中の、ブラウザーに公開される名前の設定（見本として書かれていることが多いため）。既知の形のシークレットそのものは、テストや見本のファイルでも指摘します
通信できないときに使う、予備の脆弱性の一覧（主なパッケージ）

パッケージの脆弱性は、ふだんは点検のたびに、最新の脆弱性の情報（OSV）と照らし合わせます。通信の不調などで OSV に問い合わせられないときだけ、本ツールの中に入れてある予備の一覧で照らし合わせます。予備の一覧に入っているのは、よく使われる次のパッケージの重い脆弱性だけです。それより後に公表された脆弱性や、ほかのパッケージの脆弱性は、予備の一覧では見られません。

    自分で直せないときは、エンジニアに相談

    直し方が分からない、直すと別のところが壊れそう、というときは、本ツールの運営者（Qz AI Labs）のAI製コードの診断と修復にご相談ください。原因・直す順番・確定した見積もりをまとめた診断の報告から始め、直ったときだけ成功報酬をいただきます。

    診断 29,800円〜（税込）。相談は無料です。

    症状を相談する（無料）

    よくある質問

    生成AIで作ったアプリの品質をチェックできるサービスはありますか？

    点検日和は、生成AIで作ったWebアプリの品質のうち、事故になりやすい点（APIキーの漏れ、データベースのアクセス制限、パッケージの既知の脆弱性など）を、公開する前に無料で点検し、見つけた点を、あなたのAIに直させるプロンプトを出します。人に診断して直してほしいときは、本ツールの運営者のAI製コードの診断と修復をご利用ください。

    バイブコーディングで作ったアプリは、そのまま公開して大丈夫ですか？

    公開する前に、APIキーが漏れていないか、データベースのアクセス制限が設定されているか、パッケージに既知の脆弱性がないかを確かめてください。点検日和で、これらをファイルに書かれた内容から点検できます（データベースのアクセス制限は Supabase を使っているとき、パッケージは JavaScript・Python のとき）。ただし、点検日和は安全を保証するものではなく、サービスの管理画面にしかない設定や、アプリを動かしたときの動きは確かめません。

    AIを組み込んだアプリの品質保証とは違いますか？

    違います。点検日和の対象は、生成AIがコードを書いたアプリです。アプリの中に組み込んだAIの答えが正しいかどうかは確かめません。違いは「AIでつくる」と「AIを組み込む」の違いをご覧ください。

    アプリのファイルは送られますか？

    点検するアプリのソースコード（選んだファイルや、GitHub から読み込んだコード）は、あなたのブラウザーの中で読むだけです。本ツールの運営者には送らず、保存もしません。ほかの人に渡すこともありません。フィードバックは、送る中身をそのまま画面でお見せし、「送る」を押したときだけ送ります（規則の番号と答え、書いた場合は一言やメールアドレスなど。アプリのソースコードは送りません）。点検の処理はあなたのブラウザーの中で行い（パッケージの脆弱性を調べるときだけ、パッケージの名前とバージョンを OSV に問い合わせます）、ページを閉じると、読み込んだコードは残りません。ページの使われ方だけを Google アナリティクスで数え、リポジトリの URL・ファイルの名前や中身・パッケージの名前やバージョン・見つかった点は送りません。

    パッケージの脆弱性を調べるとき、何を外へ送りますか？

    アプリが使っているパッケージの名前・バージョン・種類（npm・PyPI）だけを、このブラウザーから OSV（Google が運営する、既知の脆弱性の無料のデータベース）へ直接送ります。コード・シークレット・ファイルの名前や中身・リポジトリの URL は送りません。本ツールの運営者のサーバーも通りません。会社の中で作ったパッケージなど、パッケージの公開の置き場（npm・PyPI）から入れたと分からないパッケージの名前は送りません。公表されたばかりで、まだ OSV に載っていない脆弱性は、見つけられないことがあります。

    GitHub の URL で点検すると、コードはどこかに送られますか？

    あなたのブラウザーが GitHub から直接読み込みます。本ツールの運営者のサーバーを通らず、アプリのソースコードを運営者に送ったり、保存したり、ほかの人に渡したりすることもありません。点検の処理はあなたのブラウザーの中で行い（パッケージの脆弱性を調べるときだけ、パッケージの名前とバージョンを OSV に問い合わせます）、ページを閉じると、読み込んだコードは残りません。

    点検日和でできないことは何ですか？

    非公開の GitHub リポジトリを URL で読むこと（「Download ZIP」で落とせば選べます）、アプリを自動で直すこと、安全の保証、アプリを動かしての確かめ、サービスの管理画面にしかない設定の確かめ、結果を残すことはできません。一覧は点検日和でできること・できないことをご覧ください。

    お金はかかりますか？

    点検も、あなたのAIに直させるプロンプトも無料で、登録も要りません。直すときに使うあなたのAIの利用料は、ふだんどおりかかります。

    どんなアプリを点検できますか？

    Webアプリのフォルダ・ZIP・GitHub の公開リポジトリの URL を選べます。APIキーの漏れはどんな作りでも点検します。パッケージの脆弱性は、JavaScript と Python のパッケージを、点検のたびに最新の情報と照らし合わせます。Supabase・Next.js・Vite・Stripe を使っていれば、それぞれに合わせて追加で確かめます。Firebase のルールは、今は確かめていません。

    何を確かめて、何を確かめていませんか？

    APIキーの漏れ・公開の設定・パッケージのバージョンと公表されている重い脆弱性を確かめ、使っている作りに応じて追加で点検します。パッケージの軽い脆弱性、サービスの管理画面だけの設定、コードの意味を読む必要がある点、実際の動きや公開中のサイトは確かめていません。詳しくはこの点検で確かめること・確かめないことをご覧ください。

    直させるプロンプトは、どのAIで使えますか？

    本ツールで確かめたのは Claude Code と Codex です。ほかのAI（Cursor など）でも使える書き方にしていますが、まだ試していません。

    何も見つからなければ安全ですか？

    いいえ。この点検は、決まった手順で確かめた範囲で気づいた点を示すもので、安全を保証するものではありません。見逃しも、問題でない点を指摘することもあります。

    人に見てもらう・直してもらうことはできますか？

    はい。本ツールの運営者のAI製コードの診断と修復で承ります。診断は29,800円から（税込）で、直ったときだけ成功報酬をいただきます。相談は無料です。

    この点検について

    • この点検は、決まった手順で確かめた範囲で気づいた点を示すもので、安全を保証するものではありません。見逃しも、問題でない点を指摘することもあります。
    • サービスの管理画面にしかない設定（Supabase・Vercel など）は、コードからは確かめられません。質問に答えると、確かめ方を示します。
    • 点検するアプリのソースコード（選んだファイルや、GitHub から読み込んだコード）は、あなたのブラウザーの中で読むだけです。本ツールの運営者には送らず、保存もしません。ほかの人に渡すこともありません。フィードバックは、送る中身をそのまま画面でお見せし、「送る」を押したときだけ送ります（規則の番号と答え、書いた場合は一言やメールアドレスなど。アプリのソースコードは送りません）。GitHub の URL を入れたときは、あなたのブラウザーが GitHub から直接読み込みます（本ツールの運営者のサーバーを通りません）。点検の処理はあなたのブラウザーの中で行います（パッケージの脆弱性を調べるときだけ、パッケージの名前とバージョンを OSV に問い合わせます）。ページを閉じると、読み込んだコードは残りません。
    • パッケージの脆弱性を調べるときは、パッケージの名前・バージョン・種類（npm・PyPI）だけを、このブラウザーから OSV（Google が運営する、既知の脆弱性の無料のデータベース）へ直接送ります。コード・シークレット・ファイルの名前や中身・リポジトリの URL は送りません。会社の中で作ったパッケージなど、パッケージの公開の置き場（npm・PyPI）から入れたと分からないパッケージの名前は送りません。公表されたばかりで、まだ OSV に載っていない脆弱性は、見つけられないことがあります。
    • ページの使われ方（点検した回数など）だけを Google アナリティクスで数えています。リポジトリの URL・ファイルの名前や中身・パッケージの名前やバージョン・見つかった点は送りません。
    • 直すときは、作業の前に Git で今の状態を保存し、直したあとにもう一度点検してください。