株式会社C-RISE（本社・富山県高岡市、代表取締役・村井将則）は2026年11月11日、kintoneのテンプレートやプラグインのファイルを診断し、コードに潜むリスクを運用の前に確かめられるサービス「EXTONE Secure」を無料で提供し始めたと発表しました。アプリテンプレート、スペーステンプレート、プラグインのファイルをアップロードするだけで、ブラウザで動くJavaScriptなどのコードを診断し、結果を「要対応」「要確認」「情報」「確認できなかった項目」の4区分で示します。kintoneのアカウントやログイン情報を登録する必要はありません。C-RISEはkintoneのソリューション事業などを手がけ、サイボウズのオフィシャルプロダクトパートナーです。
動作確認だけでは気づけないコードのリスク
kintoneはJavaScriptやプラグインで業務に合わせてカスタマイズでき、AIでカスタマイズを作る機会も増えていますが、コードにAPIキーやパスワードが残っていたり、入力内容を安全に扱えない画面表示になっていたり、既知の脆弱性を持つライブラリを使っていたりしても、動作確認だけでは気づけないことがあると同社は説明しています。アプリテンプレート（.zip）とスペーステンプレート（.sptpl）は、JavaScript、CSS、外部への通信先を確かめる簡易診断に対応します。プラグイン（.zip）は配布用の形式も含めて、危険な書き方、秘密情報の埋め込み、依存パッケージを診断します。
確かめられなかった項目を問題なしと扱わない表示
圧縮されたコードなど確かめられなかった項目は、問題なしとは扱わず、そのまま明示します。任意で、AIによる用途の推定と見解を補足として見られますが、参考情報の扱いで、検査の区分や重大度、件数は変わりません。アップロードされたコードは実行せず、外部と通信できない環境で検査し、ファイルと診断結果は最大7日間保存した後に自動で削除します。アップロードされたファイルはAIの学習に使いません。利用は1組織につき月10回までで、期限はなく、1ファイル50MBまでです。同社は、診断結果を保証するものではないとして、見逃しや誤検出が生じる可能性があると注記しています。今後は、より高度な診断機能を有料で提供する予定です。
脆弱性診断ツールを比べるときに見ておきたい点
編集部では、制作会社から納品されたファイルやAIが生成したコードを、kintoneの本番環境に入れる前に無料で確かめられる点に注目しています。脆弱性診断ツール/サービスの比較ハブには、無料（OSS）のツールと有料のサービスを分けて比べる表などが載っています。EXTONE Secureはkintoneのカスタマイズのコードに絞った診断で、結果は保証されないため、本番に反映する前の確認の一つとして使い、外部に公開する仕組みなどは別の診断と組み合わせるかを検討しておきたいところです。
出典: 株式会社C-RISEプレスリリース（PR TIMES・2026年11月11日配信）
https://prtimes.jp/main/html/rd/p/000000083.000049789.html