--- title: "セキュリティエージェント | Briks" url: https://briks.dev/ja/docs/security-agent description: "Securityエージェントを導入し、サイトのコードやキー、公開ページを点検。結果は平易な言葉で届き、承認した修正はBuilderが行います。" last_updated: 2026-10-08 --- # セキュリティエージェント Securityエージェントは、プロジェクトのセキュリティを見守ります。公開のたびにサイトのコードを、毎週サイト全体をチェックし、見つけたことと次にすべきことを分かりやすい言葉で伝え、あなたが承認した修正をBuilderに依頼します。サイトを勝手に変更することはなく、キーの値を見ることもありません。 読了時間 6 分 2026年10月8日にスタジオで確認済み 導入できる人 Securityエージェントも、ほかのエージェントと同じく Agents から導入でき、プランのプロジェクトあたりのエージェント数に含まれます。導入、Builder への修正依頼、リスクの受け入れができるのは Owner と Admin です。ワークスペースのメンバーなら誰でもレポートを読めます。 ## チェックする内容 確認の大半は、Briks 独自のチェックが行います。このチェックは毎回同じ方法でサイトを読み取り、クレジットはかかりません。そのうえでエージェントは、チェックが示した箇所だけを読み、指摘が本当に問題かを判断して、あなたに説明します。 | 対象 | チェックされる内容 | | --- | --- | | サイトのコード | ファイルに直接書かれたキー、実行回数に上限がないデータの変更、誰が求めているかを確認せずに読み出されるメンバーの記録、生のHTMLとして表示されるテキスト、他のウェブサイトへの呼び出し、各ルートを誰が使えるかを示すサイト自身の一覧に載っていないルートを確認します。 | | キー | コードが読み取るのに Settings → Secrets に設定されていないキーと、そこに設定されているのにもう何も読み取っていないキーです。表示されるのは名前だけで、エージェントが値を見ることはありません。 | | 公開中のサイト | すべてのアドレスが https で応答するか、通常の http がそちらへ転送されるか、証明書の残り日数、セキュリティヘッダー、サインイン用のCookie、他のウェブサイトがサインイン中の訪問者としてサイトのAPIを使えてしまわないか、ダウンロードできてはいけないファイル、サイト内部のしくみがわかってしまうエラーページを確認します。 | | メール | ご自身でメールを送信しているドメインについて、SPF、署名(DKIM)、DMARC のレコードを確認します。 | | ファイルとフォーム | 公開の Storage フォルダにある、backup、invoice、passport、contract など非公開に見える名前のファイルと、普段の日と比べたフォーム送信の急増を確認します。 | | パッケージ | サイトが、すべてのサイトが最初から持つパッケージに加えて使っているパッケージについて、公開の脆弱性データベースにある既知のセキュリティ勧告です。 | | 詳しく見る | 月に一度、サインイン、お金、アップロードされたファイル、AI機能を扱うサイトの部分を読み取ります。前回から変わった部分を優先して確認します。 | ## 実行されるタイミング - **公開のたびに。** コードとキーのチェックを、公開されたばかりの、保存されたとおりのバージョンに対して、すぐに無料で実行します。エージェント自体が動くのは、新しい問題が見つかったときか、依頼した修正が公開されて確認が必要なときだけです。 - **毎週**、ワークスペースのタイムゾーンで月曜の朝に、公開中のサイトを含むすべてのチェックと、短いレポートを実行します。 - **When you write to it**：スレッドで話しかけたとき。たとえば、新しいフォームを公開しても安全かどうか尋ねる場合です。 ページに書き込まれたキーや、誰でもダウンロードできる非公開ファイルのような緊急の指摘は、すぐに届きます。ベルの通知と、アラートで **Urgent security findings** をオンにしたTelegramのチャットに届きます。 ## レポートの読み方 レポートを探す 1. Agentsを開く 場所: Agents プロジェクトを選び、Crew タブで Securityエージェントを選びます。 2. Security report タブを開く 場所: Security report 検出事項は深刻度ごとに Urgent、High、Medium、Low に分けられます。タブの数字は、あなたの対応を待っている件数です。 3. 検出事項を読む それぞれに、誰が何をできてしまうか、ビジネスにとってどんな意味があるか、次の一歩が書かれています。次の一歩は、あなたにしかできないこと(どこで行うかも記載)、Builder が行える修正、またはすでに Briks が対応中であることの案内のいずれかです。 4. 折りたたまれた一覧を確認する 受け入れたリスク、チェックして問題なしと確認された内容、直近30日間に修正された内容は、下部に折りたたまれています。 **Worth checking** には、あなただけが確認できるものに左右される項目が並びます。たとえば、公開のStorageフォルダにある、名前が非公開に見えるファイルなどです。何をどこで確認すべきかを具体的に示します。対応待ちの結果は、他のエージェントからの依頼と並んで **Waiting for you** にも表示されます。 ## Fix it と Accept the risk Builderに検出事項を修正してもらう 1. Fix it を選ぶ 場所: Security report 確認画面には、変更にかかる一般的なクレジット数と、お持ちのクレジット数が表示されます。**Send to the Builder** を押してください。 2. 承認する 場所: Waiting for you 修正は **Waiting for you** に、メールとTelegramでも、エージェントが求めるほかの変更と同じように届きます。読んで、文面を変えて、承認することも、断ることもできます。 3. Builder が変更を行います 承認されると、構築と確認を経て新しいバージョンとして公開されます。バージョン一覧から元に戻すこともできます。 4. エージェントが再確認します 新しいバージョンが公開されると、チェックが再度実行され、指摘が解消されていれば修正済みとして記録されます。 **Accept the risk** は、そのままにすると決めた検出結果に使います。たとえば、共有するつもりで公開の Storage フォルダーに置いたファイルのように、ご自身が頼んだ内容が原因である場合が多くあります。選択はあなたの名前と日付とともに記録され、悪化しない限り、エージェントが再び指摘することはありません。 ## 決してしないこと - エージェントがサイトを自分で変更することは決してありません。すべての修正は、あなたが必ず承認する変更として Builder が行い、元に戻すこともできます。 - あなたが依頼したことを元に戻すよう提案することは決してありません。ご自身の選択にリスクがある場合は、一度だけそう伝え、判断はあなたに任せます。 - キーの値を求めたり、読んだり、繰り返したりすることは決してありません。扱うのはキーの名前だけです。 - 侵入を試みることは決してありません。公開中のサイトに対しては、訪問者のブラウザが行うのと同じ通常のリクエストだけを、サイト自身のアドレスに、1回のチェックで多くても25回送ります。 - お客様の記録を1件ずつ読むことはありません。件数を数えるだけで、検出事項に必要なときに限って1件を名指しします。 ## 予算とクレジット チェック自体は無料です。エージェントが使うのは、指摘の説明や修正文の作成のための読み書きで、ワークスペースのクレジットから、エージェント専用の月間予算の範囲内で支払われます。初期設定は20クレジットで、設定で変更でき、その5分の1が1日あたりに使えます。1回の実行で依頼する修正は多くても2件で、深刻なものから順に出します。各修正は通常の変更として、それぞれクレジットの見積もりが付きます。 ヒント 設定で自分で直せる場合、エージェントは Builder に頼まずにそう伝えます。たとえば Settings → Secrets にキーを追加する作業はクレジットがかかりません。 ### 確認なしで修正できますか? いいえ。セキュリティ修正は必ず承認を待ちます。設定には、他のエージェントにあるスイッチの代わりに、その旨が書かれています。すべての修正は、クレジットの見積もりとともに **Waiting for you** で待機し、承認すると、元に戻せる新しいバージョンとして公開されます。 ### なぜ Briks がすでに対応中と表示されるのですか? 証明書やセキュリティヘッダーなど、すべてのサイトの配信方法に関わる指摘もあります。これらは Briks がすべてのサイトをまとめて修正するため、あなたも Builder も何もする必要はありません。 ### 受け入れたリスクを再び取り上げますか? 悪化した場合のみです。確認の結果、実際のリスクではないと判断した検出事項も、再び報告されることはありません。 ## 次に読む - [AIエージェント **AIエージェントを採用する** 公開中のサイトを任せるAIエージェントを採用。チームリーダー率いる13種類、または自作も。スケジュールと予算があり、実行前に確認します。](https://briks.dev/ja/docs/ai-agents) - [AIエージェント **承認と予算** エージェントが実行前に確認する内容、スタジオ・メール・Telegramでの承認、単独で任せる範囲、支出の上限となる予算の設定方法をご案内します。](https://briks.dev/ja/docs/agent-approvals) - [データと自動化 **シークレット** サイトのコードが必要とする API キーやパスワードは、ページやダウンロードには含めず、サイトのサーバーに保管します。追加、変更、削除の方法と、Briks が守るルールを説明します。](https://briks.dev/ja/docs/secrets) - [プロジェクトで作業する **バージョン、元に戻す、やり直し** ビルドや変更はすべて、サイトのバージョンとして保存されます。変更を元に戻す、やり直す、以前のバージョンをそのままの状態で本番環境に戻す、といった操作ができ、クレジットは保留されません。](https://briks.dev/ja/docs/versions) まだ解決しませんか? プロジェクト名と、表示されると思っていた内容を添えて [hello@briks.dev](mailto:hello@briks.dev) までご連絡ください。スクリーンショットがあると助かります。