ソースマップ参照を公開していないとは？sourceMappingURLのリスク・診断基準・無効化手順

ソースマップ参照を公開していないとは（sourceMappingURLの確認）

ソースマップ参照を公開していないとは、本番サイトのHTMLに、ソースマップ（Source Map）を指す sourceMappingURL の注釈が含まれていない状態のことです。セキュリティAIチェッカーはこの項目（html.sourcemap）で、トップページのHTMLにソースマップへの参照注釈が残っていないかを確認します。

ソースマップは、圧縮・変換された本番用JavaScriptやCSSと、開発者が書いた元のソースコードとを対応付けるデバッグ用ファイルです。ブラウザの開発者ツールは、スクリプト末尾の //# sourceMappingURL=... という注釈を見つけるとマップを取得し、元のファイル名・行番号・場合によってはソース全文を表示します。

開発中は便利な仕組みですが、本番サイトで公開したままにすると、第三者が元のソースコード、コメント、内部APIのパス、ディレクトリ構成を容易に読めるようになります。

ソースマップの仕組み（ECMA-426の要点）

ソースマップは、Ecma InternationalのTC39がECMA-426（Source map format specification）として標準化している形式です。仕様の要点は次のとおりです。

• リンク方法1：ソース注釈。生成コードの末尾に //# sourceMappingURL=<url> を書きます。生成側は //# のみを出力すべきですが、読み取り側は旧形式 //@ も受け付けます。CSSでは /*# sourceMappingURL=... */ を使います。
• リンク方法2：HTTPヘッダー。SourceMap: <url> ヘッダー（旧 X-SourceMap は非推奨）。ヘッダーがあれば注釈より優先されます。
• sources と sourcesContent。sources は元ファイルのパス一覧、sourcesContent は任意項目で、元ソースの全文を文字列として埋め込めます。sourcesContent があると、マップ1つで元のソースコードが完全に復元できます。
• データURI。sourceMappingURL=data:application/json;base64,... のように、マップ自体をスクリプトに直接埋め込むこともできます（インラインソースマップ）。

ブラウザ側の動作

一般の閲覧者のブラウザは、開発者ツールを開かない限りソースマップを取得しません。そのため、ソースマップを公開していても表示速度や通常の利用には影響せず、アクセスログにも .map へのリクエストはほとんど現れません。

逆に言えば、.map へのアクセスがログに記録されている場合は、開発者ツールを使った閲覧や自動収集ツールによる取得である可能性が高く、公開に気付く手掛かりになります。

インラインソースマップ（data: URI）の場合は、マップがスクリプト本体と一緒に必ず配信されるため、ファイルサイズが大きく増えるうえ、ソース全文が常に全閲覧者へ送られます。本番では最も避けるべき形態です。

ソースマップを公開すると何が漏れるのか

主なビルドツールの既定動作

本番のソースマップは、多くの場合ビルドツールの設定で出力されます。主なツールの本番ビルドの既定は次のとおりです。

既定値はバージョンにより変わり得るため、実際のビルド成果物に .map と注釈が含まれていないかを最終確認してください。

ソースマップについてよくある誤解

• 「ソースマップがなければコードは読めない」：minify済みのコードも整形すれば読めます。ソースマップ非公開は「解析コストを上げる」対策であり、クライアント側に秘密を置いてよい理由にはなりません（秘密情報の直書きは「秘密情報らしき文字列がない」で確認します）。
• 「参照注釈を消せば安全」：.map ファイル自体がサーバーに残っていれば、ファイル名を推測して取得できます（main.abc123.js → main.abc123.js.map）。注釈とファイルの両方を本番から除くのが確実です。
• 「ソースマップはバグ調査に必要」：エラー監視サービス（Sentry等）へマップをアップロードし、公開サーバーには置かない「hidden source map」運用が可能です。

ソースマップ参照を公開していないの診断基準（セキュリティAIチェッカー）

取得対象

• 入力URLのGET（リダイレクト最大4回追跡）で得た最終ページのHTML本文（最大2,000,000バイト、テキスト系Content-Typeのみ）。
• HTML内のインライン script・style 要素を含む全文が対象です。外部 .js ファイルの中身はこの項目では読みません。

判定条件

本文中の sourceMappingURL= という文字列（大文字小文字を区別しない）の出現回数を数えます。

• 根拠欄には件数（「◯件のsourceMappingURL参照があります。」）を表示します。
• △ に留めているのは、参照があっても .map が実際には配信されていない（404）場合や、インラインスクリプト自体に秘密がない場合があり、HTMLだけでは影響度を確定できないためです。

関連項目「ソースマップの原文公開」との住み分け

実際に .map が取得できるか、原文 sourcesContent を含むかは、関連項目「ソースマップの原文公開」で評価します。この関連項目は、巡回で見つけた同一オリジンのスクリプト最大2件を取得し、SourceMap ヘッダーまたは注釈が指す同一オリジンの .map が200かつ sources または mappings を含むJSONであれば △、原文入りの sourcesContent を含めば × と判定します。data: URIの埋め込みマップは対象外です。

このページの項目は「HTMLに参照が残っているか」、関連項目は「マップの中身が実際に取れるか」を確認する、という役割分担です。

自治体サイトでの判定例

ソースマップを公開したままにするとどんなリスクがあるか

• 攻撃の下調べを容易にする：入力チェックがクライアント側だけで行われている箇所、管理画面のAPI、権限判定のロジックが読み取られ、攻撃対象の選定が短時間で済みます。
• 秘密情報の二次漏えい：開発時に一時的に書いたAPIキーやテスト用アカウントがコメントや未使用コードとして残り、ソースマップ経由で露出することがあります。
• 委託先の内部情報露出：ビルド環境のユーザー名やディレクトリ構成から、開発事業者や利用ツールが推測されます。

単独で直ちに侵害につながる脆弱性ではないため重大度は medium ですが、他の弱点を見つけやすくする「増幅要因」として扱うべき項目です。

ソースマップを本番で無効化する方法（Vite・webpack・Next.js・Apache・nginx・IIS）

1. ビルド設定で本番のソースマップ出力を止める

Vite

// vite.config.js
export default {
  build: {
    sourcemap: false, // 監視サービスへ送る場合は 'hidden'（注釈を付けずに.mapだけ生成）
  },
};

webpack

// webpack.config.js（本番）
module.exports = {
  mode: 'production',
  devtool: false, // または 'hidden-source-map'
};

Next.js

// next.config.js
module.exports = {
  productionBrowserSourceMaps: false, // 既定値はfalse。trueにしていないか確認
};

Sass（dart-sass CLI）：既定でCSS用マップを生成するため、本番ビルドでは --no-source-map を付けます。

hidden 系の設定では .map ファイルは生成されるため、デプロイ対象から除外する手順（次項）とセットで運用してください。

2. サーバー側で .map を配信しない

Apache（.htaccess）

<FilesMatch "\.map$">
  Require all denied
</FilesMatch>

nginx

location ~* \.map$ {
    return 404;
}

IIS（web.config）

<configuration>
  <system.webServer>
    <security>
      <requestFiltering>
        <fileExtensions>
          <add fileExtension=".map" allowed="false" />
        </fileExtensions>
      </requestFiltering>
    </security>
  </system.webServer>
</configuration>

3. デバッグ用途はエラー監視サービスへ

Sentry等にはCI上でソースマップをアップロードし、アップロード後にビルド成果物から .map を削除します。これにより、本番の利用者には公開せず、障害解析では元の行番号を参照できます。

4. 確認方法（curl）

# HTML内の参照注釈
curl -s https://www.city.example.lg.jp/ | grep -c 'sourceMappingURL='
# 主要JSの末尾注釈と、SourceMapヘッダー
curl -s https://www.city.example.lg.jp/assets/main.js | tail -c 300
curl -sI https://www.city.example.lg.jp/assets/main.js | grep -i 'sourcemap'
# .mapが取得できないこと（403/404が望ましい）
curl -s -o /dev/null -w '%{http_code}\n' https://www.city.example.lg.jp/assets/main.js.map

修正後はセキュリティAIチェッカーで再診断し、本項目が ○ になったこと、「ソースマップの原文公開」でも指摘がないことを確認します。

サイトを壊さないための注意点（ガードレール）

• .map の配信拒否は、ブラウザの開発者ツールでの調査が不便になるだけで、サイトの表示や動作には影響しません。
• CMSのテーマや外部ライブラリ（jQuery、Bootstrap等の配布物）にも注釈が含まれることがあります。外部CDNのライブラリの注釈は自組織のコード漏えいではないため、自組織が開発・委託したコードを優先して対処してください。
• FilesMatch "\.map$" の設定は、拡張子 .map を持つ地図データ等（例えばイメージマップ定義を .map で配布している場合）も遮断します。該当ファイルがないか事前に確認してください。

よくある質問（FAQ）

参考資料

• ECMA-426 Source map format specification
• Vite build.sourcemap
• webpack Devtool
• Next.js productionBrowserSourceMaps
• Dart Sass CLI（--no-source-map）
• OWASP WSTG-INFO-05 Review Web Page Content for Information Leakage
• OWASP ASVS 5.0.0 V13 Configuration

「ソースマップ参照を公開していない」と関連する診断項目

• ソースマップの原文公開medium
• 秘密情報らしき文字列がないcritical
• 本番HTMLにconsole.logを残していないlow
• サーバーバージョンを露出していないlow
• 生成ツール情報を露出していないlow
• 代表的な管理ファイルが公開されていないcritical
• security.txtを公開low
• security.txtの有効期限low