... LLBACKS を使って秘密鍵をローテートするとセッションが無効となるバグ ( #34384 ) を修正しました。 目次 Django 4.1.8 リリースノート バグ修正 前のトピ ... ックへ Django 4.1.9 リリースノート 次のトピックへ Django 4.1.7 リリースノート 関連キーワード バグ 修正 リリースノート 秘密 ローテート セッション 無効 クイック検索 Last update: 2026年10月09日 « previous | up | next » ... ... LLBACKS を使って秘密鍵をローテートするとセッションが無効となるバグ ( #34384 ) を修正しました。 目次 Django 4.1.8 リリースノート バグ修正 前のトピ ... ックへ Django 4.1.9 リリースノート 次のトピックへ Django 4.1.7 リリースノート 関連キーワード Django バグ 修正 リリースノート 秘密 ローテート セッション 無効 関連するページ Django 4.2.13 リリースノート Django 5.0.6 リリースノート Django 4.2.9 リリースノ ... ... 存するとこは極めて重要で、さもなければ攻撃を行うひとたちが彼らの署名を生成するのにも使えるからです。 SECRET_KEY_FALLBACKS は秘密鍵のローテーションに使用できます。この値はデータへの署名には使用されませんが、指定された場合は署名されたデータを検証するため ... Signer クラスは SECRET_KEY 設定の値を署名生成に利用します。次のように Signer のコンストラクタに任意の値を渡すことで、異なる秘密鍵を使用することもできます。 >>> signer = Signer ( key = "my-other-secret" ) >>> value = signer . sign ( "My string" ) >>> v ... ther piece of code that is generating (and verifying) signatures using a different salt. SECRET_KEY とは異なり、salt 引数は秘密にする必要はありません。 タイムスタンプ値の検証 ¶ TimestampSigner は Signer のサブクラスで、値に署名されたタイムスタンプを追 ... ... 存するとこは極めて重要で、さもなければ攻撃を行うひとたちが彼らの署名を生成するのにも使えるからです。 SECRET_KEY_FALLBACKS は秘密鍵のローテーションに使用できます。この値はデータへの署名には使用されませんが、指定された場合は署名されたデータを検証するため ... Signer クラスは SECRET_KEY 設定の値を署名生成に利用します。次のように Signer のコンストラクタに任意の値を渡すことで、異なる秘密鍵を使用することもできます。 >>> signer = Signer ( key = "my-other-secret" ) >>> value = signer . sign ( "My string" ) >>> v ... ther piece of code that is generating (and verifying) signatures using a different salt. SECRET_KEY とは異なり、salt 引数は秘密にする必要はありません。 タイムスタンプ値の検証 ¶ TimestampSigner は Signer のサブクラスで、値に署名されたタイムスタンプを追 ... ... YFILE ¶ デフォルト値: None EMAIL_USE_SSL または EMAIL_USE_TLS が True の場合、SSL 接続のクライアント認証のための PEM 形式の秘密鍵ファイルへのパスを、 EMAIL_SSL_CERTFILE と併せて任意で指定できます。 EMAIL_SSL_CERTFILE と EMAIL_SSL_KEYFILE を設定しても、 ... いかなる証明書のチェックも行われません。これらは基礎となる SSL 接続に渡されます。証明書チェーンファイルと秘密鍵ファイルの取り扱いの詳細については、Python の ssl.SSLContext.wrap_socket() 関数のドキュメントを参照してください。 バージョ ... のリクエスト処理 を参照してください。 SECRET_KEY ¶ デフォルト値: '' (空文字列) Django のインストールごとに設定される個別の秘密鍵です。 暗号署名 に使われる鍵であり、ユニークかつ予測できない値でなければなりません。 django-admin startproject コマンドを実 ... ... YFILE ¶ デフォルト値: None EMAIL_USE_SSL または EMAIL_USE_TLS が True の場合、SSL 接続のクライアント認証のための PEM 形式の秘密鍵ファイルへのパスを、 EMAIL_SSL_CERTFILE と併せて任意で指定できます。 EMAIL_SSL_CERTFILE と EMAIL_SSL_KEYFILE を設定しても、 ... いかなる証明書のチェックも行われません。これらは基礎となる SSL 接続に渡されます。証明書チェーンファイルと秘密鍵ファイルの取り扱いの詳細については、Python の ssl.SSLContext.wrap_socket() 関数のドキュメントを参照してください。 バージョ ... のリクエスト処理 を参照してください。 SECRET_KEY ¶ デフォルト値: '' (空文字列) Django のインストールごとに設定される個別の秘密鍵です。 暗号署名 に使われる鍵であり、ユニークかつ予測できない値でなければなりません。 django-admin startproject コマンドを実 ... ... す。もしあなたのサイト内に管理対象外のサブドメインが存在すればそこにも 制限 が存在します。 CSRF 対策 は各 POST リクエスト内の秘密情報を確認することで機能します。悪意あるユーザーは、フォームの POST を別のログイン中のユーザーが気づかない間に「リプレイ」し ... て、フォームを送信させようとします。これを実行するには秘密情報を知っている必要がありますが、秘密情報は（クッキーを用いて）ユーザーごとに固有なので、簡単に取得することはできません。こ ... めのDjangoプラグインやWebサーバーモジュールを導入することを検討してください。 あなたの SECRET_KEY と SECRET_KEY_FALLBACKS を秘密にしておいてください。 ファイアウォールを使用して、キャッシュシステムとデータベースへのアクセスを制限することをお勧めします。 ... ... されている手順で保護できます。 しくみ ¶ CSRF対策は以下のようなことを基本としています: 他のサイトがアクセスできないランダムな秘密の値である CSRF クッキー。 CsrfViewMiddleware は django.middleware.csrf.get_token() が呼び出されると、常にこのクッキーをレス ... けられた、すべての送信 POST フォームに存在する隠しフォームフィールド。 BREACH 攻撃から守るために、このフィールドの値は単なる秘密ではありません。マスクを使って、レスポンスごとに異なるスクランブルをかけます。マスクは get_token() を呼び出すたびにランダムに ... 、ユーザーがあなたのアプリケーションに対して投稿を強制することはできないことを意味します。 これはまた、セッションに依存しない秘密を使用するときに HTTPS で可能な中間者攻撃 (man-in-the-middle attack) に対処するためでもあります。 HTTP の Set-Cookie ヘッダは ... ... す。もしあなたのサイト内に管理対象外のサブドメインが存在すればそこにも 制限 が存在します。 CSRF 対策 は各 POST リクエスト内の秘密情報を確認することで機能します。悪意あるユーザーは、フォームの POST を別のログイン中のユーザーが気づかない間に「リプレイ」し ... て、フォームを送信させようとします。これを実行するには秘密情報を知っている必要がありますが、秘密情報は（クッキーを用いて）ユーザーごとに固有なので、簡単に取得することはできません。こ ... めのDjangoプラグインやWebサーバーモジュールを導入することを検討してください。 あなたの SECRET_KEY と SECRET_KEY_FALLBACKS を秘密にしておいてください。 ファイアウォールを使用して、キャッシュシステムとデータベースへのアクセスを制限することをお勧めします。 ... ... されている手順で保護できます。 しくみ ¶ CSRF対策は以下のようなことを基本としています: 他のサイトがアクセスできないランダムな秘密の値である CSRF クッキー。 CsrfViewMiddleware は django.middleware.csrf.get_token() が呼び出されると、常にこのクッキーをレス ... けられた、すべての送信 POST フォームに存在する隠しフォームフィールド。 BREACH 攻撃から守るために、このフィールドの値は単なる秘密ではありません。マスクを使って、レスポンスごとに異なるスクランブルをかけます。マスクは get_token() を呼び出すたびにランダムに ... 、ユーザーがあなたのアプリケーションに対して投稿を強制することはできないことを意味します。 これはまた、セッションに依存しない秘密を使用するときに HTTPS で可能な中間者攻撃 (man-in-the-middle attack) に対処するためでもあります。 HTTP の Set-Cookie ヘッダは ... 2026年10月08日