ワンタイムトークン機能（v4.2.7～）

メールフォームプロにクロスサイトリクエストフォージェリ攻撃への対策の一環としてワンタイムトークン機能を実装しました。メールフォームプロは元々クロスサイトリクエストフォージェリ攻撃をしづらい仕組みになっているので、こちらは標準で有効になっておりません。

メールフォームプロCGIダウンロードページへ

クロスサイトリクエストフォージェリ攻撃というのがありまして、リンクや偽装サイトなどから攻撃を行う事ができるたぐいの攻撃なのですが、それに対するやや強めの対策としてワンタイムトークン機能というものを実装しました。

仕組み

  1. フォームにアクセスした際にトークンを発行（Javascript経由で発行する）
  2. フォーム送信時に発行したトークンが有効かどうかをチェック
  3. 有効なトークンであれば送信。そうでなければエラー

という単純な仕組みになっております。

仕組み上、迷惑メール対策にもなるので迷惑メールがうるさいぞー！という人がもしおりましたらこちらの機能を有効にしてみてください。

設定方法

ワンタイムトークンをフォーム画面で発行（見えませんが）し、フォーム送信時にそれを照会することでクロスサイトリクエストフォージェリ対策と迷惑メール対策を行うための機能です。

  1. config.cgiを編集し、push @Modules,'onetimetoken';を有効にします。
  2. configs/onetimetoken.cgiを編集しトークンのキーや有効期限などを設定します。
  3. これで作業は完了です。

コメント欄

2022-05-18 13:38:28山崎さん
メールフォームプロ4.3.1を使用させていただいております。ありがとうございます。
設置方法を拝見し、ワンタイムトークン機能を有効にし、フォームページからすぐに送信テストをおこなったのですが、「トークンの有効期限が切れています。<br>The token has expired.」と表示され、送信ができません。
configs/onetimetoken.cgi　にてトークンのキーを4桁の番号に変更しました。

考えうる問題点や解消方法をご教示いただけますと幸いです。
よろしくお願いいたします。

2022-05-18 22:03:24和田さん
/data/フォルダ内の各ディレクトリのパーミッションが777あるいは読み書き可能なパーミッションになっていない可能性があります。
/data/onetimetoken/ というフォルダにトークンファイルが生成されていなかった場合、トークンファイルの生成に失敗している可能性があるため、パーミッションをご確認ください。