MOZGII、9月3日より人間認証にFirebase App Checkを導入

id.mozgii.comにおけるシングルサインオンの仕組み

id.mozgii.comでのサインインにより、ユーザーは1つの集約された身元確認システムを通じて、MOZGIIの全20ポータルおよびモバイルアプリケーションにアクセスできます。ユーザーはAppleアカウント、Googleアカウント、またはメールアドレスとパスワードの組み合わせを使って認証を行えます。ユーザーがどのポータルやアプリ機能に最初にアクセスする場合でも、サインイン画面が表示されるのはid.mozgii.comのみです。

認証の一元化により、エコシステム全体でセキュリティプロトコルが標準化されます。ユーザーが公開された技術ニュースを閲覧する場合でも、バックエンドの連携管理やクライアント機能を利用する場合でも、作成する1つのプロフィールが一貫して使用されます。すべてのサインイントラフィックを単一のドメインに誘導することにより、MOZGIIはセッション状態の断片化を防ぎ、あらゆるデジタルプロパティ間でのクレデンシャル検証を簡素化します。

Cloudflare Turnstileボット保護によるリクエストのフィルタリング

MOZGIIは、サーバー側で人間の操作を確認してから完全なアクセス権を付与するために、Cloudflare Turnstileボット保護を利用しています。検証パイプラインは段階的に動作し、構造化された順序で属性を評価します。システムは自動ブラウザテストを開始する前に、ユーザーが有効なメールアドレスを所有しているかをまず確認します。

検証シーケンス中、サーバー側のコードはTurnstileによって生成されたトークンを検査し、着信リクエストがスクリプトではなくアクティブなブラウザセッションから送信されていることを確認します。モバイルアプリ内のアカウントがこの人間チェックを通過していない場合、アプリは単一の遮断画面を表示します。ユーザーはチャレンジを通過するまでアプリの機能にアクセスできません。さらに、金銭的な検証は実際の資金移動が発生した場合にのみ行われ、無料トライアルや返金された取引は除外されます。

Firebase App Checkによる不正なAPI呼び出しのブロック

2026年9月3日より、Firebase App Checkモバイルアプリセキュリティは、モバイルプラットフォームが使用するすべての本番環境APIエンドポイントを保護します。この強制適用により、すべてのモバイルAPI呼び出しは、改ざんされていない公式のアプリインスタンスから直接発生する必要があります。有効なバックエンド証明トークンがないリクエストは、処理前にサーバーゲートウェイで拒否されます。

バックエンド証明を必須とすることで、悪意のある攻撃者がAPI呼び出しを偽装したり、カスタムスクリプトでバックエンドリソースを悪用したりするのを防ぎます。モバイルクライアントは、通常の運用リクエスト中にその完全性を継続的に証明する必要があります。未認証のツールに対してバックエンドの侵入口を保護することで、MOZGIIは接続されたすべてのサービスとバックエンドインフラのデータ完全性を一定に維持します。

モバイルデバイスにおけるPlay IntegrityとApp Attestの比較

MOZGIIは、リクエストがAndroidまたはiOSハードウェアのどちらから発生したかに基づき、Play IntegrityとApp Attestを導入してプラットフォーム証明のバランスをとっています。iOSデバイスでは、アプリはAppleのApp Attestフレームワークに依存してデバイスの真正性を検証し、クライアントのバイナリが変更されていないことを確認します。Androidデバイスでは、アプリはGoogleのPlay Integrity APIを使用してデバイス環境とアプリバイナリの状態をチェックします。

どちらの証明システムもハードウェアベースのトークンを生成し、バックエンドがAPI通信中にこれを検証します。このOS固有の役割分担により、異なるモバイルオペレーティングシステム間でネイティブ証明の精度が担保されます。その結果、Androidエミュレーターも改ざんされたiOSビルドも、正規のアプリの動作を模倣してバックエンドのセキュリティフィルターを回避することはできません。

人間認証が企業パートナーにもたらす変化

企業パートナーにとってのMOZGII人間認証アカウント（MOZGII verified human accounts）の最大の価値は、プラットフォーム上のすべてのユーザーインタラクションが実在の人物を表している点にあります。MOZGIIでメンバーとやり取りする企業は、自動スクリプト、偽プロフィール、スパムトラフィックに対応する手間を回避できます。連絡先詳細は接続されたメンバーにのみ公開され、表示ごとに明示的なシングルタップ操作が必要となります。

追加の本人確認機能も現在開発中です。電話番号認証と本人確認書類の認証は、プロダクトの画面上で「近日公開」と表示されています。ハードウェア証明、サーバー側のボットチャレンジ、確認済みの金融アクティビティを組み合わせることで、MOZGIIは企業クライアントが実在の個人と直接繋がることができる信頼性の高い環境を提供します。

よくある質問

MOZGIIはどのようにして全ポータルでのボットアカウントを防いでいますか？

MOZGIIは、id.mozgii.comを通じたシングルサインイン、サーバー検証によるCloudflare Turnstileチェック、モバイルデバイスでのハードウェア証明を組み合わせた段階的な検証パイプラインを使用しています。アカウントは電子メールを確認し、ブラウザチェックを通過し、必要に応じて有効な支払い取引を完了する必要があります。未検証のモバイルユーザーは、人間認証を通過するまで遮断画面が表示されます。

Firebase App CheckはどのようにモバイルAPIエンドポイントを保護しますか？

Firebase App Checkは、送信されるすべてのAPI呼び出しが、改ざんされていない本物のモバイルアプリインスタンスから送信されていることを検証します。2026年9月3日以降、本番環境のバックエンドエンドポイントはiOS App AttestまたはAndroid Play Integrityによって発行されたデバイス証明トークンをチェックします。スクリプト、エミュレーター、または未認証のサードパーティアプリからのリクエストはゲートウェイでブロックされます。

なぜサーバー側の人間検証にCloudflare Turnstileを使用するのですか？

Cloudflare Turnstileは、煩わしい視覚的パズルに頼ることなく、着信ウェブトラフィックが人間のユーザーからのものかどうかを評価します。MOZGIIはTurnstileトークンをバックエンドサーバー上で直接検証し、アカウント作成やポータル内でのアクティビティが自動ボットではなく正当なブラウザセッションから行われていることを確認します。