演習

A レコードを新しい IP に変えた直後、dig example.com @8.8.8.8 で新しい IP が返りました。切り替えは完了したと言えますか?

TTL 300 で運用しているレコードを変更しました。全利用者に行き渡るまでの最大時間は?

この条件で、切り替え計画の TTL をどう設計しますか?

「DNS の変更が反映されない」と相談してきた同僚に、何が起きているかを説明してください

サーバー上では curl localhost:3000 が 200 を返すのに、外からは接続できません。届いていないのはどこですか?

TCP が UDP に対して提供しているものは何ですか?

この症状から、どの層に原因があると切り分けますか?

「API が落ちています」とだけ報告してきた後輩に、次に何を確認すべきかを説明してください

HTTP/2 で解消された HOL ブロッキングは、どの層のものですか?

HTTP/1.1 向けにドメインを4つに分けていた構成を、HTTP/2 でそのままにするとどうなりますか?

この構成で HTTP/2 に移行するとき、何から手を付けますか?

「HTTP/2 にしたのに速くならない」と言う同僚に、何を確認すべきかを説明してください

HTTPS の鍵マークが保証していないものはどれですか?

証明書の有効期限切れが、他の障害と違う点はどこですか?

この指摘のうち、TLS で解決するものはどれですか?

「HTTPS にしたからセキュリティ対策は済んだ」と言う同僚に、足りていない部分を説明してください

CDN は既定で何をキャッシュキーにしますか?

デプロイのたびにパージを実行する運用と、ファイル名にハッシュを入れる運用。壊れ方が違うのはどこですか?

このサイトで、どのパスをどうキャッシュしますか?

「CDN を入れたい」と言う同僚に、速くなる以外に何が起きるかを説明してください

max-age が切れたあと、ETag を付けておくと何が変わりますか?

stale-while-revalidate は、利用者に何を見せている間に何をしていますか?

このリソースそれぞれに、どのキャッシュ設定を与えますか?

「キャッシュを長くすれば速くなる」と言う同僚に、それだけでは決められない理由を説明してください

ロードバランサの後ろにあるアプリで、IP アドレスごとのレート制限をかけています。ロードバランサを入れた直後から、全利用者がまとめて制限に引っかかるようになりました。なぜですか?

アプリは X-Forwarded-For の先頭の値を、利用者の IP として使っています。どんな問題が起きますか?

利用者の IP を、正しく取れるようにするには?

「朝からログインできない」という問い合わせを受けたサポート担当に、何が起きたかを説明してください

社内の管理画面に「処理の進捗バー」を出したい。進捗はサーバー側が5〜10秒ごとに更新する。同時に見る人は最大20人。どれを選びますか?

500人が3秒ごとにポーリングしています。1リクエストで DB に1回、50ms のクエリを投げるとき、DB の接続は常時およそ何本埋まりますか?

要素を動かすとき、top の書き換えと transform: translateY() で何が違いますか?

ループの中で offsetHeight を読んでから style を書く、を繰り返すと何が起きますか?

この実装のうち、どこを直せばスクロールが滑らかになりますか?

「スマホだけスクロールがカクつく」と相談された相手に、見るべき順番を説明してください

10万件の配列を回す同期処理に async を付けると、画面の固まりは解消しますか?

setTimeout(fn, 0) と Promise.resolve().then(fn)。先に実行されるのはどちらですか?

この処理を、体感を損なわずに実装するにはどうしますか?

「スピナーを出したのに回らない」と言う同僚に、何が起きているかを説明してください

iframe の contentDocument が null になります。サーバー側のヘッダ設定で解除できますか?

同一オリジンポリシー下でも許されているものはどれですか?

この構成のうち、ブラウザに止められるのはどれですか?

「iframe の中を直接操作したい」という要望に、なぜできないかと代わりの方法を説明してください

CORS エラーが出たとき、設定を直すのは主にどちら側ですか?

Access-Control-Allow-Origin: * と Cookie 送信を同時に使えないのはなぜですか?

この要件を満たす CORS 設定をどう書きますか?

CORS エラーで丸一日止まっている後輩に、どこを見るべきかを説明してください

ログイン中だけ有効で、タブを閉じたら消えてほしい値があります。JS から読み書きし、サーバーには送りたくありません。どこに置きますか?

HttpOnly Cookie でセッションを管理しているサイトに XSS があります。攻撃者にできないことはどれですか?

この条件で、認証情報をどこに置きますか?

「トークンは localStorage でいいですよね」と聞いてきた同僚に、何を確認すべきか説明してください

LCP が 4.2 秒でした。最初にやるべきことはどれですか?

INP が悪いとき、いちばん疑うべきものはどれですか?

この数字から、どこを調べますか?

「LCP を 2.5 秒以内にしてほしい」と言われたとき、何を確認しますか

新しい sw.js をデプロイしました。開いたままのタブを再読み込みしても、古い版の Service Worker が応答し続けます。なぜですか?

問題のある Service Worker を消そうと、sw.js をサーバーから削除しました。利用者の手元では何が起きますか?

この在庫確認アプリで、Service Worker のキャッシュ戦略をどう組みますか?

「キャッシュをクリアしてください」と案内した問い合わせ対応の担当者に、なぜそれで直る人と直らない人がいたのかを説明してください

幅 390px・DPR 3 のスマートフォンで、2列の商品グリッドを表示します。1枚は約190px 幅です。srcset に 400w / 800w / 1200w / 2400w を用意しましたが、sizes を書き忘れました。ブラウザが選びやすいのはどれですか?

ページ最上部の大きな商品画像（LCP の要素）に loading='lazy' を付けたところ、LCP が悪化しました。なぜですか?

この商品詳細ページで、画像の配信をどう組みますか?

「画像は全部圧縮したのに、古いスマートフォンで商品ページがカクつく」と言うデザイナーに、何が起きているかを説明してください

`<div onclick>` を `<button>` に変えると、自動的に得られるものはどれですか?

商品一覧で、商品名のテキストのすぐ横に商品画像があります。この画像の `alt` はどうすべきですか?

セッション Cookie に HttpOnly を付けると、何が防げますか?

サーバーが覚える方式（セッション）と、利用者に持たせる方式（トークン）。ログアウトを即座に効かせやすいのはどちらですか?

この要件で、認証の保持方式と Cookie の属性をどう設計しますか?

「セッション Cookie の属性が付いていない」という診断結果を、開発チームに説明してください

JWT のペイロードに入れてよくない情報はどれですか?

アカウントを停止しても、発行済み JWT で API が通り続けるのはなぜですか?

この要件を満たす認証設計をどう組みますか?

「JWT はステートレスだから採用したい」と言う同僚に、決める前に確認すべきことを説明してください

OAuth 2.0 が本来扱っているのはどちらですか?

他サービス向けに発行されたアクセストークンでログインされてしまう問題。何を確認していれば防げましたか?

この実装のどこに穴があり、どう直しますか?

「アクセストークンでプロフィールを取ればログインできる」という実装に、どこが危ういかを説明してください

XSS・CSRF・SQLi に共通する構造はどれですか?

HttpOnly を付けていれば XSS の被害は防げますか?

この4つの指摘に、どの順で対応しますか?

「入力値のバリデーションを強化すれば脆弱性は防げる」と言う同僚に、それでは足りない理由を説明してください

API に「ログインしていなければ 401 を返す」ミドルウェアを入れました。これで防げるのはどれですか?

注文番号を連番から UUID に変えました。認可の確認は入れていません。この変更で何が変わりますか?

注文 API の認可を、どこにどう入れますか?

「ログインしないと使えないので、セキュリティは大丈夫です」と言う開発者に、何が足りないかを説明してください

パスワードに利用者ごとのランダムなソルトを足してから SHA-256 でハッシュ化し、ソルトは同じ行に保存しています。テーブルが流出したとき、特定の1人のパスワードを総当たりで見つける時間は、ソルトが無い場合と比べてどうなりますか?

パスワードを AES で暗号化して DB に保存しています。鍵はアプリの設定ファイルにあります。DB と一緒に、アプリのサーバーの設定ファイルも流出しました。どうなりますか?

新しく作るサービスで、パスワードをどう保存しますか?

流出の発表文の案に「パスワードはハッシュ化しているため安全です」と書かれています。広報とマネジメントに、この表現の何が問題かと、何を書くべきかを伝えてください

package.json に「date-lib: ^1.4.0」と書き、package-lock.json には 1.4.2 が記録されています。CI で npm install を実行したとき、乗っ取られた 1.4.3 が公開されていたら何が入りますか?

依存パッケージの postinstall スクリプトは、CI の環境で何ができますか?

CI での依存の取り込み方を、どう設計しますか?

「依存を1つ足すだけです」と言う同僚に、何を一緒に考えたいかを伝えてください

管理画面で「顧客一覧を CSV 出力」した操作を監査ログに残します。最も重要な項目はどれですか?

権限が無くて弾かれた操作（403）を監査ログに残すべきですか?

冒頭の事故で、被害を防げた可能性が最も高い設定はどれですか?

HSTS を `max-age=31536000; includeSubDomains` で設定しました。注意すべきことは何ですか?

正規化が主に守っているのはどれですか?

注文テーブルに購入時の商品名を持たせるのは、非正規化の失敗ですか?

この設計をどう直しますか?

「結合が多くて遅いので、テーブルに列を写したい」という提案に、何を確認すべきかを説明してください

(status, created_at) の複合インデックスがあります。WHERE created_at > ? だけの検索で使えますか?

インデックスを6本張ると、1行の INSERT で何が起きますか?

この要件で、インデックスをどう設計しますか?

「遅いから WHERE に出る列に全部インデックスを張った」という後輩に、何を考え直すべきかを説明してください

「在庫を SELECT して、1以上なら UPDATE で減らす」。同時に2つ動くと何が起きますか?

分離レベルを常に一番厳しくしておけば安全ですか?

この処理を、同時実行でも正しく動くようにするにはどうしますか?

「在庫がマイナスになった」という不具合を、原因からチームに説明してください

N+1 がスロークエリログに出てこないのはなぜですか?

同じ 201 回のクエリでも、DB が同一マシンにある場合と別リージョンにある場合で何が変わりますか?

この一覧画面のクエリ回数を、どこまで減らせますか?

「一覧が遅いがスロークエリは無い」と困っている同僚に、何を見ればよいかを説明してください

EXPLAIN が表示する行数は何ですか?

クエリが遅いとき、最初にすべきことはどれですか?

この実行計画から、何が問題でどう直しますか?

「コードを変えていないのにバッチが3倍遅くなった」という状況を、原因から説明してください

キーバリュー型のデータベースで「1件取るコストがデータ量に依存しない」のは、なぜですか?

次のうち、キーバリュー型を選ぶ根拠として最も強いものはどれですか?

この条件で、どのデータストアを選びますか?

「NoSQL のほうが速いらしいので使いたい」と言うメンバーに、何を確認すべきか説明してください

検証環境で3秒だった ALTER が、本番で11分かかりました。最も疑うべきものはどれですか?

オンライン DDL を使えば、書き込みを止めずにスキーマを変更できます。それでも事故が起きうるのはなぜですか?

この条件で、マイグレーションの計画をどう立てますか?

「列を足すだけなのに、なぜサイトが止まったのか」を、DB に詳しくない同僚に説明してください

会員テーブルを論理削除にしています。退会した人が同じメールアドレスで再登録しようとすると「登録済み」で弾かれます。原因はどれですか?

会員を論理削除しました。その会員に紐づく注文は注文テーブルに残っています。外部キー制約はこの状態をどう扱いますか?

会員の退会を、どう実装しますか?

「全部論理削除にしておけば、間違えて消しても戻せるから安全」と言う同僚に、何が安全で何が危ないのかを説明してください

Lambda の同時実行数が最大 500 まで伸びます。各実行環境はプールの最大を 10 本に設定しています。DB の max_connections は 400 です。DB に向かう接続は理論上最大で何本になりますか?

DB の CPU 使用率は 15% で余裕があります。一方で API の応答が数秒に伸び、アプリのログには「接続の取得待ちでタイムアウト」が出ています。最も疑うべきものはどれですか?

キャンペーンに備えて、Lambda から DB への接続をどう組みますか?

「DB を大きくすれば解決するのでは」と言うプロダクトマネージャーに、なぜそれだけでは足りないのかを説明してください

請求書の URL が `/invoices/1024` です。この ID から外部の人が推測できることは何ですか?

新規サービスで、注文テーブルの主キーを決めます。書き込みは1日数千件、URL にも ID を出します。何を選びますか?

`name` にインデックスを張ってあります。次のうち、インデックスが使われるのはどれですか?

N-gram（2文字区切り）で索引を作ったとき、「京都」で検索すると何が起きますか?

calculateAmount(items, isMember, hasCoupon, forExport) のようなフラグ引数が危ういのはなぜですか?

似たコードを見つけたとき、共通化してよいかの判断軸はどれですか?

このクラスをどう分割しますか?

「共通化したのに、なぜか変更が怖くなった」という相談に、何が起きたかを説明してください

決済手段の分岐が12箇所に散っています。どの原則に反していますか?

依存性逆転で「逆転」しているのは何ですか?

この設計に、どの原則をどこまで適用しますか?

「SOLID を全部守れているか不安」という後輩に、原則の使い方を説明してください

DB のカラム名を変えたら 28 ファイルが落ちました。何が起きていますか?

コントローラから直接リポジトリを呼ぶのは、常に避けるべきですか?

この実装のどこが層の設計に反していて、どう直しますか?

「層に分けているのに変更が波及する」という相談に、何を見ればよいかを説明してください

金額を number ではなく専用の型で扱うと、何が防げますか?

テーブル設計から始めると、業務ルールはどこに置かれがちですか?

この業務をどうモデリングしますか?

「まず ER 図を書こう」という進め方に、先に確認したいことを説明してください

モノリスでは、注文の保存とポイントの付与を1つのトランザクションで行っていました。サービスに分けて、注文サービスがポイントサービスを HTTP で呼ぶ形にしました。新しく起きうることはどれですか?

8つのサービスに分けましたが、全サービスが1つの DB の同じテーブルを直接読み書きしています。この状態で、会員テーブルの列名を変えるとどうなりますか?

このチームの開発を速くするために、構成をどう変えますか?

「マイクロサービスに分けたのに、なぜ開発が遅くなったのか」と聞く CTO に、説明してください

注文時刻 created_at は UTC で保存しています。日本時間の11月30日の売上を集計するつもりで WHERE DATE(created_at) = '2026-11-30' と書きました。集計に入るのはどの注文ですか?

日本時間に設定されたブラウザで、new Date('2026-11-30') と new Date('2026-11-30T00:00') を作りました。2つの瞬間の差はどれですか?

「11月30日 23時59分まで」のキャンペーンの終了を、どう保存し、どう判定しますか?

経理の担当者に、日次売上が毎日ずれていた理由と、過去の数字をどう読めばよいかを説明してください

DB のクエリの応答を待っている 200ms の間、その処理はサーバーの CPU をどれだけ使っていますか?

ある API の同時実行数を 10 から 20 に増やしたところ、1秒あたりに捌ける件数は変わらず、1件あたりの応答時間だけが約2倍になりました。この処理は何バウンドですか?

サムネイルの生成を、どこで動かしますか?

「非同期にしたのに速くならない」と言う同僚に、何が起きているかを説明してください

家族の絵文字（人の絵文字を ZWJ で繋いだもの）1つを、JavaScript の `.length` で数えるといくつになりますか?

正規化はどこでやるのが基本ですか?

一覧の絞り込み条件は、どこに置くべきですか?

サイドバーの開閉状態は、どこに置くべきですか?

レスポンスのフィールドを1つ削除するのは、どういう変更ですか?

「記事を公開する」操作を API にするとき、どれが扱いやすいですか?

この機能群の API をどう設計しますか?

「使われていないフィールドなので消した」という変更を、なぜ危険かを説明してください

同じリクエストを2回送っても結果が変わらないのはどれですか?

タイムアウトしたリクエストについて、クライアントが確実に言えることはどれですか?

この一括処理を、安全にリトライできる形にするにはどうしますか?

「リトライで二重決済が起きた」という事故を、原因と対策としてチームに説明してください

失敗も HTTP 200 で返し、ボディの success: false で表す方式。何が困りますか?

エラー応答に含めるべき、呼び出し側がいちばん必要とする情報はどれですか?

この5つの失敗に、それぞれどう応答しますか?

「エラーは全部 200 とメッセージで返す方針にしたい」という提案に、何が起きるかを説明してください

GraphQL で CDN キャッシュが効きにくいのはなぜですか?

転送量が40%減ったのにサーバー負荷が10倍になりました。何が起きていますか?

この2つのサービスに、それぞれどちらを選びますか?

「GraphQL にすれば過不足なく取れて速くなる」という提案に、一緒に決めるべきことを説明してください

新しい順の一覧を offset で読んでいます。1ページ目と2ページ目の間に新しい行が3件追加されました。何が起きますか?

created_at だけをカーソルに使うと、どんな問題が起きますか?

この条件で、一覧 API のページングをどう設計しますか?

「offset で十分では?」と言うメンバーに、何を確認すべきか説明してください

アプリ・BFF・注文サービスの3つが、それぞれ失敗したら最大3回（初回を含む）まで試します。決済サービスがまったく応答しないとき、1回の購入操作で決済サービスに届く呼び出しは最大何回ですか?

BFF のタイムアウトは5秒です。その先の注文サービスは、決済サービスを2秒のタイムアウトで最大3回呼び、間に1秒ずつ待ちます。決済サービスが応答しないとき、何が起きますか?

購入の経路で、リトライとタイムアウトをどう決めますか?

ふりかえりで「決済サービスは2分で直ったのに、なぜ40分も止まったのか」と聞かれました。説明してください

可視性タイムアウトが30秒のキューです。ワーカーが仕事を受け取り、処理に40秒かかりました。何が起きますか?

重複を避けるため、ワーカーは仕事を受け取った直後にキューから消し、それからメールを送る作りにしました。どんな失敗が起こりえますか?

注文確認メールの送信を、どう組み直しますか?

「キューに入れたら、確実に1回だけ処理されると思っていた」と言うチームメンバーに、何が違うのかを説明してください

「毎分100回まで」を、毎分0秒で数え直す方式で制限しています。12:00:59 に100回、12:01:00 に100回のリクエストが届きました。この2秒間で、何回が通りますか?

API サーバーが5台あり、各サーバーのメモリ上で「API キーごとに毎分100回まで」を数えています。ロードバランサは均等に振り分けます。1つの API キーで、実際に毎分何回まで通りますか?

ログイン API の制限を、どう設計し直しますか?

「うちの会社の社員だけ、朝ログインできない」という問い合わせを受けたサポート担当者に、何が起きていたかを説明してください

次のうち、後方互換を壊さない変更はどれですか?

レスポンスから項目を1つ消したい。最初にやることは何ですか?

上限 1GB の動画アップロードを実装します。経路はどちらを選びますか?

サーバー経由のアップロードで、メモリ不足を避けるには何をしますか?

落ちたままのテストを1件放置すると、なぜ全体が壊れるのですか?

ステージングと本番で、それぞれビルドし直すのは何が問題ですか?

このリリースを、安全に進める手順に分けてください

「CI は時間がかかるだけ」と言う同僚に、何を買っているのかを説明してください

image: myapp:latest を本番で使うと、何が起きますか?

Dockerfile でアプリのコードを先にコピーし、その後に依存をインストールすると何が起きますか?

この Dockerfile の問題点を、影響の大きい順に挙げてください

「切り戻せなかった」障害の振り返りで、何が原因だったかを説明してください

1日200件のアラートが届く状態は、何が起きていますか?

CPU 使用率が 90% を超えたら通知する設定。何が弱点ですか?

この監視設定を、どう作り直しますか?

「アラートチャンネルがミュートされている」という状況を、どう立て直すか説明してください

同じバグを捕まえられるなら、どの層のテストを選ぶべきですか?

たまに落ちるテストを「再実行すれば通る」と扱い続けると、何が起きますか?

このテストスイートを、どう作り直しますか?

「E2E を180本まで増やしたのに、品質が上がった実感が無い」という状況を説明してください

決済が全面的に止まっています。30分前にデプロイがありました。最初に何をしますか?

振り返りの再発防止策として、最も弱いのはどれですか?

いま障害中です。最初の30分をどう使いますか?

振り返りの「再発防止」に何を書きますか。書いてはいけないことも含めて説明してください

API キーを書いたファイルを誤ってコミットし、プッシュしました。次のコミットでファイルを削除してプッシュしました。これで安全になりましたか?

Dockerfile で .env を COPY し、依存関係のインストールに使ったあと、次の RUN で rm .env しました。できあがったイメージに鍵は残りますか?

サーバーレスの API で、秘密情報をどこにどう置きますか?

誤ってコミットした API キーを「削除コミットを積んだので対応済みです」と報告してきた後輩に、何が足りないかを伝えてください

ON / OFF の2通りを取るフラグが、同じ画面の処理に3つあります。本番で起こりうるフラグの組み合わせは何通りですか?

新しい決済画面を10%に公開するため、リクエストごとに乱数を引いて10%の確率で新しい画面を出しています。何が起きますか?

新しい決済の流れを、フラグを使ってどう公開しますか?

「公開が終わったフラグは、そのまま残しておいても害は無いのでは」と言うプロダクトマネージャーに、消す理由を説明してください

毎日 03:00 にフルバックアップを取っています。21:00 に障害が起きて復旧する場合、失われるデータは最大でどれくらいですか?

バックアップの監視として、最も価値が低いものはどれですか?

`MAIL_ENABLED` が未設定のとき、既定値をどうすべきですか?

次のうち、リポジトリにコミットしてよいものはどれですか?