Webアプリケーションとは？うぇぶあぷりけーしょん
Webアプリケーションとは、利用者はブラウザだけを使い、処理とデータの保持はサーバ側で行うアプリケーション。手元の端末に専用ソフトを入れずに済み、機能の更新もサーバ側だけで完結する。多くはWebサーバ・アプリケーションサーバ・データベースサーバに役割を分けた3層構成をとる。
最終更新：2026-10-09
この語が出る過去問を解く →背景
かつては業務ソフトを全端末にインストールする形が主流で、更新のたびに全台へ配って回る必要があり、OSごとに作り分ける手間もあった。ブラウザという共通の窓口に処理の入口をそろえれば、その手間が消える。代わりにインターネットに面するため、入力値の検証など公開後の脆弱性対策が前提の作業になる。
具体例
Google ドキュメントや Microsoft 365 の Web 版は、文書の保存も編集処理もサーバ側で行い、利用者側はブラウザだけで動く。大学のポータルで履修登録するときも、画面は手元でも、科目の残席の判定や登録の記録はサーバ側で処理されている。
試験での引っ掛け
ブラウザ側のJavaScriptによる入力チェックは利用者の手元で書き換えられるため、サーバ側での検証が必須になる。端末にインストールして動くネイティブアプリケーションとの区別も問われる。その中間にあたるものとして、アプリの枠の中でWebの画面を動かすハイブリッドアプリケーションや、Webアプリをホーム画面から起動できるようにしたPWA（Progressive Web Apps）がある。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 基本情報技術者試験 午前 問42（IPA）解説で登場
WAFの説明はどれか。
正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。
要点：WAFはHTTPの内容を検査してWeb攻撃を遮断する
WAF（Web Application Firewall）は、Webアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃と判断されるパターンを含むアクセスを遮断する仕組みである。通常のファイアウォールがポート単位で制御するのに対し、HTTPの中身まで見る点が特徴である。
出典：平成28年度 春期 基本情報技術者試験 午前 問37（IPA）
出典：平成29年度 秋期 基本情報技術者試験 午前 問39（IPA）
SQLインジェクション攻撃の説明はどれか。
正解：Webアプリケーションに問題があるとき、悪意のある問合せや操作を行う命令文をWebサイトに入力して、データベースのデータを不正に取得したり改ざんしたりする攻撃
要点：SQLインジェクションは入力経由でDBに不正なSQLを実行させる
SQLインジェクションは、入力値の検証やエスケープが不十分なWebアプリケーションに対し、SQL文として解釈される文字列を送り込み、開発者が意図しない問合せや更新をデータベースに実行させる攻撃である。情報の不正取得、改ざん、削除につながる。プレースホルダ（バインド機構）の利用が根本的な対策となる。
出典：平成29年度 春期 基本情報技術者試験 午前 問37（IPA）解説で登場
ディレクトリトラバーサル攻撃に該当するものはどれか。
正解：攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。
要点：ディレクトリトラバーサルはパス指定を細工した不正閲覧
ディレクトリトラバーサルは、ファイル名を受け取るWebアプリケーションに対して「../」などを含むパスを与え、本来公開する意図のない上位ディレクトリのファイルを読み出させる攻撃です。パスの検証不足が原因なので、入力値の正規化や、指定できる範囲を限定する対策が有効です。
出典：令和5年度 公開問題 基本情報技術者試験 科目A 問10（IPA）
図のような構成と通信サービスのシステムにおいて,Webアプリケーションの脆弱性対策のためのWAFの設置場所として,最も適切な箇所はどこか。ここで,WAFには通信…
正解：c
要点：WAFは復号後の平文HTTP区間に置かないと検査できない
WAFはHTTPの中身（リクエストのパラメタなど）を検査してWebアプリケーションへの攻撃を防ぐ装置である。本問のWAFは暗号化・復号の機能をもたないため、HTTPSで暗号化されたままの区間に置いても中身を検査できない。SSLアクセラレータで復号された後、Webサーバの手前にあたる平文HTTPの区間に設置するのが適切である。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。