InjectionWitness

誰のための案か

セルフホストまたは CDN 前置(Cloudflare / Fastly / Netlify)のサイトを運用する EU の代理店と中小。現状は手動の「ソース表示」抜き打ち確認か、他人の HN スレで偶然知るだけ

どんな困りごとか

法務: ホスティング / CDN 層がサイト所有者の知らないうちに追跡 Cookie や analytics を注入すると、取得していない同意の責任を所有者が負う GDPR / ePrivacy リスク

どう作るか

Web ダッシュボード: URL と想定スクリプトドメイン・Cookie 名の許可リストを登録すると、ヘッドレスブラウザのクローラーが毎晩巡回して前回承認済みベースラインと diff を取り、新規行そのものを Slack / メールで警報

どう稼ぐか

GDPR 責任を負うサイトを持つ代理店・中小が、継続監視 + 日付入りコンプライアンス証跡エクスポートにドメインあたり月 $15〜30 を払う。手動のソース表示確認は毎日走らず、データ保護当局の照会に出せる証拠も残らないため

なぜまだ無いのか

Cookie 同意ベンダー(OneTrust / Cookiebot)のスキャンは申告済み Cookie の確認が主目的で、DNS / CDN 層自身が後から入れる注入を名指しする動機がない。個人開発のツールにはその利益相反がない

最初の利用者

Cloudflare のネームサーバー注入の話題に反応している HN スレと個人開発者・Web 管理者フォーラムへ直接投稿。複数クライアントサイトを預かる代理店は「漏らしたのは自分ではない」証明を欲しがる

作る規模

2 people x 8 weeks: crawler+diff engine, allowlist config UI, Slack/email alerting, PDF/CSV evidence export; excludes cookie-consent-banner management and WAF-style blocking.

一番のリスク

大手 CDN(例: Cloudflare)が注入する全スクリプト・ヘッダのゾーン別公開透明性ログを実装し、第三者による注入監査が不要になる

的中の条件(3 つすべて必要)

• 登録 URL ごとに毎晩ヘッドレスクロールし、本番レスポンスのバイト列を前回承認済みベースラインと比較して、新しい script src ドメインを 24 時間以内に列挙
• 許可リストにない新しい Set-Cookie ヘッダ・ドメインを、Cookie 名と発生元ドメインつきでフラグ
• 検出した全変更の日付入り証跡ログ(PDF / CSV)をドメイン別・月別にダウンロード可能

的中の判定(6ヶ月後)

ローンチ週の Product Hunt Top 5、またはオープンソース公開で GitHub 500 スター到達(判定日 2027-02-17)

AI自己確度 45/100 — 判定条件を満たす見込みの自己申告で、事業の成功率ではありません