AWS Amplifyホスティングが便利そうなので使いたいのですが、セキュリティ的な不安からプロジェクトへの導入をあきらめていました。やはり、AWSにおいての開発は、Amplifyを使うのが便利だと思うので、再度チャレンジしようと思い、まずはセキュリティ評価を行いました。

結論を先に記載すると以下の通りです。

セキュリティヘッダが不十分　※ただし、設定は可能
DV証明書のみであり、OV/EV証明書の導入ができない
暗号強度が低い
IPアドレス制限ができない
WAFの設定ができない

Amplifyホスティングを最大限に活用する

「Amplifyホスティングを最大限に活用する」というのは過大広告のつもりではなく、Amplifyに表示されている推奨設定項目のタイトルです。以下の方法が記載されています。
まだまだやれそうなことはありそうですが、記載されているものはすべて実施しました。
直感的な操作でできるので、おそらく、そんなに悩むことはないと思います。

今回利用しているCodeCommitでは、プレビュー機能に対応していませんでした。

Mozilla Observatory

Mozilla Observatoryを利用することで、HTTPに関するセキュリティチェックが行えます。
以下のURLにアクセスします。
https://observatory.mozilla.org/

公開したくない場合は、「Don't include my site in the public results」にチェックを入れます。
「enter domain name here」に検査対象のURLを入力して、「Scan Me」をクリックします。

検査をする際は、Amplifyホスティングのパスワード保護を一時的に無効にする必要があります。

スキャンを開始すると以下の画面になるので少し待ちます。
数分経っても終わらない場合は、パスワード保護が有効になっていないかなど、アクセス出来ることを確認します。

HTTP Observatory

HTTPヘッダのチェックをしてくれます。
Mozilla Observatoryを使う利点は、ほとんどこの機能だと思っています。
スコアは、「F」ランクでした。

特に対策をしていないため、以下の通り指摘されている状況です。

上記指摘は、以下のAmplifyの機能でほぼ対策できそうです。

セキュリティヘッダーの例

customHeaders:
  - pattern: '**'
    headers:
      - key: 'Strict-Transport-Security'
        value: 'max-age=31536000; includeSubDomains'
      - key: 'X-Frame-Options'
        value: 'SAMEORIGIN'
      - key: 'X-XSS-Protection'
        value: '1; mode=block'
      - key: 'X-Content-Type-Options'
        value: 'nosniff'
      - key: 'Content-Security-Policy'
        value: "default-src 'self'"