DangleWatch

誰のための案か

オープンソース基盤(SondeHub 級の市民科学プロジェクト)のメンテナと、リポジトリ・ドキュメント・印刷済み QR・OAuth コールバック・webhook URL が第三者ドメインを参照する 1〜50 人の SaaS チーム。いまは単発のサブドメイン乗っ取りスクリプト(subjack)と HTTP リンクチェッカーを回し、レジストラの失効通知は自分の所有ドメインにしか来ない

どんな困りごとか

法務・セキュリティ: 失効した参照先ドメインはサプライチェーン乗っ取りそのもの — polyfill.io は 10 万超のサイトにマルウェアを配り、失効エンドポイントを登録した研究者には資格情報つきの実 webhook トラフィックが届き、696 点の SondeHub の一件は冗談ドメイン 1 個の失効が地政学の道具にまで転がることを見せた。参照 1 個の乗っ取りで、漏えい開示・緊急の再リリース・印刷物の回収まで強いられる

どう作るか

コード・パッケージマニフェスト・ドキュメント・CI 設定から外部ドメインを file:line の出典つきで抽出する CLI + GitHub Action。ホスト型ダッシュボードが毎日の RDAP ポーリング・登録者ハッシュの差分・失効カウントダウンを行い、メール / Slack 警報と週次ダイジェスト、ドメイン別の公開履歴ページを出す

どう稼ぐか

無料の CLI スキャンをリード獲得に使い、ホスト型の常時監視を組織あたり月 $20(参照ドメイン 500 まで)、顧客ポートフォリオを持つ代理店に月 $99。無料のスナップショットでは日次の状態追跡と警報ができず、webhook / OAuth ドメイン 1 個の乗っ取りが漏えい開示イベントになり、レジストラもリンクチェッカーもそれを捕まえないから払う

なぜまだ無いのか

既存勢は問題を 3 分割している: レジストラは自分の所有ドメインしか監視せず、リンクチェッカーは HTTP ステータスしか見ず、アタックサーフェス系は自社資産をスキャンして外向きの参照は見ない — 「依存しているが所有していないドメイン」には見張りがいない。組織あたり数百ドメインの RDAP ポーリングは安価でレート制限つきの薄利仕事で大手スキャナーが飛ばす領域、そして SondeHub のスレッドが爆心半径をちょうどいい買い手たちに見せたばかり

最初の利用者

696 点の SondeHub HN スレッドは「うちも依存ドメインを棚卸しすべきだ」と言っている基盤メンテナの自己選別された聴衆。その追い風に無料 CLI を Show HN で投げ込めば、最初の 10 はスレッド内のオープンソースプロジェクトと、常時監視のホスト版を欲しがるコメント参加者の勤務先になる

作る規模

1 person x 6 weeks. In scope: URL/domain extraction (tldextract + manifest parsers), RDAP status/expiry polling with registrant-hash diffs, GitHub Action, email/Slack alerts, per-domain history page. Out of scope: multi-provider CNAME takeover fingerprinting, HTTP content diffing, takedown or domain-recovery assistance.

一番のリスク

GitHub が code scanning や Dependabot アラートの中に「参照ドメインの健全性」を標準搭載し、この賭けが頼るリポジトリ中心の買い手にとって単体の監視ツールが冗長になる

的中の条件(3 つすべて必要)

• 公開 GitHub リポジトリの URL を渡すと、コード・パッケージマニフェスト・ドキュメント・CI 設定から参照中の外部ドメインの完全な棚卸しを 5 分以内に file:line の出典つきで返す — 50 個以上のドメインを植えた公開の正解リポジトリで検証可能
• 参照中の全ドメインについて RDAP の登録状態・失効日・登録者ハッシュを毎日更新し、ドメイン別の公開履歴ページに表示する
• 監視中のドメインが redemptionPeriod / pendingDelete に入るか登録者ハッシュが変わったら 24 時間以内にメールか Slack で警報する — 判定期間中にプロジェクトがわざと失効させる公開テストドメインで実証可能

的中の判定(6ヶ月後)

この形に合致する公開 GitHub リポジトリの 1,000+ スター、または Product Hunt のデイリー Top 5、または著名なオープンソース基盤プロジェクト 3 件以上のセキュリティドキュメントでの採用記録(判定日 2027-02-20)

AI自己確度 35/100 — 判定条件を満たす見込みの自己申告で、事業の成功率ではありません