セキュリティ

WSA の配布物は「気づく」仕組みと「弾く」仕組みの 2 層で守られています。「気づく」仕組みは、受け取った側でハッシュ・署名・指紋を照合するものです。「弾く」仕組みは、受け取る側の Windows Defender や SmartScreen など、既知のマルウェアを自動で止める保護機能です。どちらか一方だけでは不十分です。両方を確認してください。

配布物の検証方法（5 ステップ）

ダウンロード後にハッシュを確認する。 ZIP の SHA-256 がダウンロードページの値と完全一致することを確認します。一致しなければ展開しないでください。
展開する前に ZIP を検査する。 展開したフォルダ内の VERIFY_ZIP.bat（Mac は VERIFY_ZIP.command）で ZIP を検査します。パストラバーサル、シンボリックリンク、ZIP 爆弾、CRC 不一致などがあればここで止まります。 展開不可（BLOCKED） なら展開しないでください。
新しい空のフォルダに展開する。 EXTRACT_WSA.bat（Mac は EXTRACT_WSA.command）を使うのが望ましいです。検査した ZIP と展開する ZIP が同じものかハッシュで確かめたうえで、空の新しいフォルダに展開します。既存のファイルがあるフォルダへの上書き展開はしないでください。
起動時の検証を確認する。 START_WSA.bat（Mac は START_WSA.command）をダブルクリックすると、起動前に自動で検証が走ります。検証済み（VERIFIED） の場合のみ起動します。 要確認（REVIEW） や 起動不可（BLOCKED） の場合は起動しません。
Defender でスキャンする（Windows、配布時に一度だけ）。 ZIP 本体と展開後のフォルダを Defender でスキャンし、結果を記録します。検出があれば WSA は削除・隔離しません。Defender の指示に従ってください。

署名の確認方法

配布 ZIP には Ed25519 署名付きの manifest.json が含まれています。署名は、ZIP 内の 411 ファイルのパス・サイズ・SHA-256 を結びつけるものです。

署名方式: Ed25519（ビルド鍵）。Authenticode は未署名（証明書なし）です。
公開鍵の指紋: 2b613b148d96f09357f6eddd5a8c0d6eeb2030f777a148d3be2e43451fb8b408
keyId: 2b613b148d96f093、鍵の有効期限: 2027-11-14 まで。
公開鍵（Base64）: MCowBQYDK2VwAyEAwgvK1CsYaTL46ZPc6V0mdR17a+/orTUlvQbRkLA07H4=
指紋は、このサイトとは別の経路（配布メッセージ、ZIP 内の SECURITY_REPORT.md、マニュアル、README）でも公開しています。指紋が一致しなければ起動しないでください。
初回起動で指紋があなたの PC に記録されます（ピン留め）。2 回目以降に指紋が変わると起動が止まります。鍵の更新手順は ZIP 内の KEY_ROTATION.md を参照してください。

SHA-256 だけで発行者の真正性を保証したと主張しません。 SHA-256 は「ビルド後に変わっていない」ことの証明であり、「誰が作ったか」の証明ではありません。発行者の真正性は、Ed25519 署名と指紋の別経路での照合で確認してください。

SHA-256 の確認方法

Windows（PowerShell）:

Get-FileHash .\WSA_v1.4.3_Web_FileScanner_Local_Test.zip -Algorithm SHA256

Mac（ターミナル）:

shasum -a 256 WSA_v1.4.3_Web_FileScanner_Local_Test.zip

表示されたハッシュがダウンロードページの値と完全一致すれば OK です。一致しなければ展開せず、配布元に連絡してください。

Defender による検査方法

受け取る側の前提条件として、Windows Defender のリアルタイム保護と SmartScreen、ブラウザの保護機能が有効であることが必要です。どれか 1 つでも無効なら、既知のマルウェアを自動で止められません。Defender や SmartScreen を無効化してはいけません。

ZIP 本体と展開後のフォルダのスキャン（Windows の PowerShell）:

Start-MpScan -ScanType CustomScan -ScanPath .\WSA_v1.4.3_Web_FileScanner_Local_Test.zip
Start-MpScan -ScanType CustomScan -ScanPath .\WSA_v1.4.3_Web_FileScanner_Local_Test
Get-MpThreatDetection | Select-Object ThreatName, InitialDetectionTime, Resources

検出がなければ「脅威は検出されませんでした」と記録してください。検査時点での「検出なし」は「マルウェア不存在」の証明ではありません。検出されなかったことの記録として扱ってください。

安全な展開方法

OS 標準の展開機能（Explorer / Archive Utility）か、ZIP 内の EXTRACT_WSA を使います。
新しい空のフォルダに展開します。既存のファイルがあるフォルダへの上書き展開はしません。
展開後にファイルが自動で起動することはありません。
展開フォルダの名前を変更すると、起動時の検証が BLOCKED になります（フェイルクローズド）。フォルダ名は変更しないでください。

脆弱性報告窓口

WSA やこの配布サイトの脆弱性を見つけた場合は、以下の方法で報告してください。

報告窓口の連絡先は、公開時に設定します。現在は準備中です。
報告には、再現手順と影響範囲を含めてください。公開前に修正の可否を確認します。
報告された脆弱性は、修正後に更新履歴に記録します。

既知の制限事項

作り直された悪意ある ZIP は初回起動では自動検査をすり抜けます。署名はマニフェストとビルド鍵を結びつけるだけです。初回は指紋の別経路での照合が唯一の防波堤になります。2 回目以降はピン留めが検出します。
配布物は未署名（Authenticode なし）です。Windows 自身が作者を保証するものではありません。
Windows 11 / Mac 実機での完全な E2E は未検証です。実機での起動・Web 診断・PC 診断・File Scanner の動作は、利用者環境での確認が必要です。
推移的依存の CVE 監査は未実施です。npm audit がレジストリのポリシーでブロックされるため未実施です。
スキャン中に作られたファイルは結果に入らない場合があります。スキャンがそのフォルダを過ぎたあとに作られたファイルは含まれません。感染が疑われる場合は再スキャンしてください。
EXTRACT_WSA は初回抽出には使えません。ZIP の中にあるため、初回は前バージョンのツールか手動の展開とハッシュ確認が必要です。
node_modules は検証対象外です。npm ci で作られるため ZIP には含まれず、マニフェストの対象外です。初回起動時に wrangler のハッシュを記録し、変化したら起動を拒否します。
ハードリンクは ZIP 形式からは検出できません。ZIP64 は非対応です（BLOCKED）。

プライバシーについて

このサイトはアカウント登録を必要としません。
個人情報の収集は最小限です。ファイル内容やスキャン結果は収集しません。
不要な Cookie、広告トラッキング、テレメトリーは導入していません。
ダウンロードの記録は件数の把握のみに使い、保存期間は最小限にしています。