2026年10月21日、PHPの脆弱性「PHP2Shell」への予防措置として、コドモンのサービスを日中に一時停止しました。停止の判断から、修正版を待ちながらの自前ビルドの準備、翌朝の再開までを、反省点も含めて時系列で振り返ります。

こんにちは！プロダクト開発部のせきねこです。先月、数年ぶりにインフルエンザに感染して高熱と格闘しました🤒子どもたちの学校・保育園でも流行っているようなので、予防接種はお早めに…！ 今回は、10月10日（土）にコドモンオフィスで開催された「子育てエンジニアリングMeetup #1」の様子をお届けします！ kosodate-engineering.connpass.com 開催協力の背景 子育てエンジニアリングMeetupは、子育て中のエンジニアが集うコミュニティです。 2026年の6月頃、運営の髙橋直規（幡ヶ谷亭直吉）さん・ころちゃんさんからコドモンのメンバーにご相談いただいたことをきっかけに、…

この記事の要点（3行） session_destroy() が破棄するのは、サーバー側のセッションデータだけ。これだけではログアウト処理として不十分である。 実際にHTTP通信を確認すると、$_SESSION とセッションクッキーが消えずに残っていることが確認できる。 Laravel の invalidate() は flush()（セッション属性のクリア）と migrate(true)（旧ID破棄と新ID発行）の組み合わせで、素のPHPで見てきた後始末に相当する処理を実装している。 こんにちは。プロダクト開発部の塚原です。 業務でセッションまわりの実装をしていたとき、PHPマニュアルのセッシ…

こんにちは、プロダクト開発部の中田です。 私は、サービス安定稼働のためDB負荷高騰の要因を解消することをミッションとするチームに所属しています。 本記事では、DB負荷高騰の発生を未然に防ぐための施策として、弊社内で「テーブル解体」と呼んでいる対応についてご紹介します。 なお、具体的な設計・実装は対象テーブルやデータの事情によって変わるため、安全に進めるための進め方と考え方を中心に紹介しています。 テーブル解体とは 汎用テーブルとは 汎用APIとは 「汎用」を「個別」に分解する 本記事で扱うテーブルの前提 テーブル規模 利用時間帯 システム構成 汎用テーブルの解体の流れ 安全な解体のために 入念…

画面の見た目は何も変わらないのに、値がひとつ変わっただけでフロントエンドを修正してリリースする。原因はAPIレスポンスの構造にあります。データ構造とアイコン画像の2例で、フロントエンドに何を知らせないかをAPI側でどう決めるかを書きました。

こんにちは！プロダクト開発部の塚原です。 2026年9月5日（土）に開催された「XP祭り2026」に現地参加＆登壇してきました！ コドモンからは私と友野の2名が登壇しました。この記事では、基調講演や現地会場の様子、私たちの登壇についてレポートします。 XP祭り2026 XP祭りとは？ XP祭りは、日本XPユーザグループ（XPJUG）が主催する、XP（エクストリーム・プログラミング）をテーマにしたコミュニティイベントです。 2002年から毎年秋に開催されており、今年で20年以上続く歴史のあるイベントです。 XPのプラクティスだけでなく、アジャイルな開発やチームづくり、組織、生成AIなど幅広いテー…

AIでコードが速く書けるので、ペアプロを減らしてリリースを増やそうとしました。でも速くならず、不安だけが増えました。原因は理解の先送りでした。XP（エクストリームプログラミング）のプラクティスが何を守っていたのか、減らしてみて確かめた記録です。

こんにちは、プロダクト開発部の杉山です。 2026年7月30日（木）12:00-13:00にオンラインイベント「CoDMON Tech Talk #6 コドモン流・AIを使ったチーム開発のリアルな実例」を開催しました（connpassイベントページ）。 当日は、普段のチーム開発でAIをどう使っているかを話しました。イベントの内容と、時間内に答えきれなかった質問への回答をまとめます！ アーカイブ動画はこちらです。 https://www.youtube.com/live/GyvJRr9J8Ds LT LT①：実装・設計だけでなく、運用・保守にもAIを広げてみた（杉山） LT②：コドモンに入社して…

こんにちは！プロダクト開発部の村松です。 2026年8月6日（木）、コドモンオフィスにて「PHPカンファレンス2026 リジェクトコン&アフターイベント」を開催しました！ PHPカンファレンス2026のスポンサー企業であるコドモン・BASE・クイックの3社による共同開催で、当日は多くの方にご参加いただき、大いに盛り上がったイベントとなりました。その様子をお届けします✨ codmon.connpass.com リジェクトコンとは リジェクトコンとは、カンファレンスにプロポーザルを提出したものの、惜しくも採択されなかったトークを供養（発表）するイベントです。 ちなみに、PHPカンファレンス2026…

こんにちは！プロダクト開発部の塚原です。 2026年7月20日（月・祝）に開催された「PHP Conference Japan 2026」に、コドモンはプラチナスポンサーとして協賛しました！昨年に引き続き、今年もスポンサーブースの出展とメンバーの登壇でイベントに参加してきましたので、当日の様子をレポートします。 phpcon.php.gr.jp 昨年の様子はこちらの記事でご覧いただけます。 登壇セッション AIが無かった頃の素敵な出会いの話（スポンサーセッション） 5分で問診！Composer セキュリティ健康診断（LT） スポンサーブースの様子 アンケート結果の分析 「好き」1位：コミュニテ…

新規事業のリリース前に約2〜3週間の総合試験を実施しました。テストはやるかどうかだけでなく、何のためにやるのかを決めることが大切だと痛感した、その学びと反省を共有します。

プロダクト開発部の上代です。 JJUG CCC 2026 Springに協賛し、成瀬、浦中、チャブ、上代が登壇しました！今回はその様子をレポートします。 協賛について コドモンは今回、JJUG CCC 2026 Spring に ブース出展 と スポンサーセッション の2つの形で協賛しました。JJUG CCC への協賛はこれが初めてです！ 普段 Kotlin／Spring Boot を使用してプロダクトを開発している私たちにとって、日々お世話になっている Java／JVM コミュニティに貢献できる機会は大きな意味がありました。当日は多くのエンジニアの方とお話しでき、非常によい一日となりました。…

こんにちは。エンジニアのjunです。 少し前に、ローカルAWSエミュレータとしてFlociを利用し始めた話を書きました。 ホイシルの開発環境では、Cognito や S3、Lambda といった AWS の依存をローカルで完結させるために Floci というローカル AWS エミュレータを使っています。 その記事では「Floci にホストの docker.sock は渡さない方針にしています」とだけ書き、理由には踏み込みませんでした。本記事はその補足です。「コンテナを操作するコンテナ」に Docker daemon をどう渡すかを、docker.sock 直渡し、socket-proxy によ…

こんにちは！Engineering Officeチームのおかぱる(@okapall)です。結構プレイしたな〜と思っていた『ゼルダの伝説 ティアーズ オブ ザ キングダム』ですが、ZELDA NOTESによると未達成がまだまだたくさんあるようで、冒険は続くぞとウキウキしています🍃 コドモンのEngineering Officeチームでは開発部の組織に関する活動を色々と行っており、その中の一つとして技術広報の旗振りも行っています。この数年間、じわじわ技術広報に取り組んで来ましたが、いつの間にか「コドモンさん知ってますよ」「よくイベントやカンファレンスにいますよね」「あの発信みました」と声をかけても…

こんにちは、コドモンSREチームの小西です。 今年の1月に開催された、「SRE Kaigi 2026」というイベントで、バッチ基盤をリアーキテクチャリングした事例について発表しました。 tech.codmon.com speakerdeck.com 発表当時は本番環境への移行実施中でしたが、現在は、すべてのバッチ処理の新基盤への移行が完了し、運用フェーズに入っています。 そこで今回は、バッチ基盤リアーキテクチャリングの振り返りや、移行後に見えてきた課題について書いていきたいと思います。 はじめに バッチ基盤の課題 移行後のアーキテクチャ バッチ基盤リアーキテクチャリングの振り返り 進め方：段階…

SREチームの檜山です！ AWS DevOps Agentを使って、アラート発生時の一次対応を自動化する仕組みを作りました。 一般にアラートが上がると、調査して問題があるかないかを見極めて必要に応じて対処することになるかと思います。DevOps Agentはこのアラートに問題がないかどうかを見極めるという一次対応を自動で行なってくれます。 AWSのチュートリアルをもとに実際に試せる環境をTerraformで用意してみたので、参考にしてみてください。（コードはAIで作成しています） GitHub Terraform github.com ※ 参考：AWSのサンプルコード github.com 構…

こんにちは！Engineering Officeのおかぱるです。 先日コドモンオフィスにて「親子で楽しむプログラミング体験@コドモン」を開催しましたので、その様子をお届けします✨️ 開催背景・準備 当日の様子 ふりかえり さいごに 開催背景・準備 コドモン開発部は日々いろいろな発信やイベントの実施などを行っています。普段は技術や開発スタイルに関連したイベントを企画・実施することが多いのですが、子ども関連の事業を行っているコドモンだからこそできるイベントもやってみたい！ということで、3名の開発メンバーが主導する形で"プログラミング体験イベント"の企画がスタートしました。 過去に一度、参加者を社内…

はじめに コドモンSREチームの佐々木です。 先日SREチームのメンバーが、こちらのイベントに登壇させて頂きました。 mixi.connpass.com 発表ではコドモンでのTerraformの使い方や運用についてお話しし、最後にAIによって運用がどう変わっていくか、という話にも触れました。 speakerdeck.com speakerdeck.com その流れを受けて、AI導入後のコドモンのTerraform運用がどう変わって、どこが変わらなかったか、ということを書いてみたいと思います。 なお、コドモンではTerraformを使っているので本記事もTerraform前提です。「AIに合うI…

こんにちは、プロダクト開発部のふくいです。 コドモンのプロダクトエンジニアの開発環境は Mac で統一されているのですが、半年ほど前に自身の開発環境を Windows11 + WSL2 の環境に移行しました。この記事では移行の際に引っかかった細かい点や、移行後に感じたことを雑多に書いてみたいと思います。 なぜ移行したのか? 移行後に遭遇した注意点 Docker でマウントしたファイルのデフォルトのオーナーとグループ sed コマンドの非互換 WSL2 と Windows 間のネットワーク調整 Claude Code の hooks で完了を音で知らせる 移行後の所感 よかったところ 効果を感じ…

こんにちは！プロダクト開発部の吉田（よしよし）です。 ハンディタイプのかき氷機を買ったら、我が家で空前のかき氷ブームがおき、3日おきに新色のシロップが増えていっています。よくばるほど微妙な色になる…という人生の学びをものともせず、5歳の息子は全色混ざった茶色がお好みです🍧 さて、この記事では、フロントエンドのバンドル差分有無をPull Requestのコメントで確認できるようにし、ライブラリ更新などの本番影響の有無を判断しやすくした話を書きたいと思います。 モチベーション 仕組み化のきっかけ コドモンで仕組み化する上で大事にしたところ CIだけでなくローカル(CLI)でも動かせること Pull…

はじめに コドモンで新規事業に取り組んでいる重田です。 最近、プロンプトエンジニアリングに初挑戦しました！ とあるインプットから、AIを使ってテキストコンテンツを生成するのですが、リリースできる品質に持っていくまでにたくさんの試行錯誤をしました。 この記事では、その過程で得たプロセスの話をお伝えします。生成しているコンテンツの中身そのものではなく、品質を高める仕組みをどう作ったか に絞って書きます。 これからAI生成コンテンツの開発に取り組むエンジニア・PdM・デザイナーの方に向けて、特に効果的な 3つのポイント を共有します。 💡ポイント1: 何はともあれ、PDCAを回せる状態を作る 価値を…

こんにちは、プロダクト開発部の関です。 2026年1月、IPA（情報処理推進機構）が発表した「情報セキュリティ10大脅威 2026」で、「AIの利用をめぐるサイバーリスク」が初めてランクインし、ランサムウェア、サプライチェーン攻撃に次ぐ3位に位置づけられました。これは新たな脅威カテゴリが増えたというより、既存の攻撃がAIによって質的に変化していることを示す象徴的な変化です。 WAFに求められる役割も、当然この変化と無縁ではいられません。アプリ単体での堅牢化はもはや前提条件にすぎず、多層防御の一部としてのWAFをどう運用していくのかがますます重要になってきます。 攻撃の実態に応じて、WAFに新し…

はじめに こんにちは。プロダクト開発部の塚原です。 第1回では「設定の油断が招く脆弱性（A02）」、第2回では「入力値と暗号の落とし穴（A04・A05）」として、タイミング攻撃やバインディング操作といった事例を紹介してきました。 第3回では、A07（Authentication Failures）とA08（Software or Data Integrity Failures）を取り上げます。いずれも「当たり前に信頼していた前提」が崩されるタイプの脆弱性です。処理時間の差、HTTPヘッダの値、復号したデータの中身など。普段あまり気に留めない要素が、攻撃の入口になってしまいます。3件のCVEを通…

プロダクト開発部の髙橋です。先日、入社から丸7年が経過し、8年目に入りました。 開発部のメンバーも当初は10名ほどでしたが、現在は100名に迫る規模になっており、さらに増えていく見込みです。8年前には中途採用で一番新しいメンバーだった私も、部署内で2番目に古い人間となってしまいました。 弊社の主力サービスであるコドモンは、2016年のサービス開始以来急激な成長を遂げており、2026年3月時点で25,000を超える施設にご利用をいただいています。 サービスの成長に伴い、システムの設計も、緩やかではありますが、段階的に見直しが行われてきました。この資料では、私が入社した2019年ごろから現在まで行…

こんにちは。プロダクト開発部の関口です。皆さんはシールを集めてますか？私は集めていません。ですが長女と次女が集めまくるせいで私のお財布からは毎週お金が飛んでいきます。昨今のシールはボンドロとかおはじきとかタイルとかシャカシャカとか水入りとか、色々あるみたいですよ？余ったシールを会社貸与の私のmacに貼ってくるので、私の「mac book」は「シール book」になりつつあります。 さて、今日は私がクラスを作るときに考えることをつらつらと述べてみようと思います。もう生成AIが全部作ってくれるからそんなこと考える必要ないんだよという向きもあると思いますが、誰かの何かの参考になれば幸いです。 うまく…

こんにちは、プロダクト開発部の加藤です。 ランニングを続けているおかげでフィットネス年齢が33.5歳になりました！ はじめに さて、私は個人的に日報を書いています。 日報の中には、今日やったことを通じて成功/失敗したことの深堀りや、チームメンバーへの感謝を綴ることが多いです。 ただ、日報を書くことが面倒に感じていたこともあり、AI を活用してもっと楽に作成できないか。あわよくば、日報をレビューしてもらい内省を深めることができないかと考えました。 そこで、出たアイデアが "音声入力日報システム" でした。自分で話した内容が自動で日報になり、AI がフィードバックをくれるシステムです。 当記事では…

2026年2月に中途入社しました、日暮（ひぐらし）です。 これまで仕事の内容や入社エントリーを外に向けて発信することはあまりなかったのですが、今回「入社エントリー」という良い機会をいただいたので、書いてみようと思います。 なぜ私がこのタイミングでコドモンという場所を選んだのか、そして今ここで何を実現しようとしているのか。少しお話しさせてください。 なぜ、転職活動を始めたのか 私はこれまで何度か転職を経験していますが、これまでの転職理由は「現職のここが納得いかない」や「こんな仕事やスキルを経験してみたい」といった、キャリアアップや現状打破の軸が強かったように思います。 しかし、今回の転職は、今ま…

こんにちは。エンジニアのjunです。ゴールデンウィークはプラレール博にいきました。会場限定の車両が欲しかったので息子に相談しましたが、要らないと一蹴されて断念し、彼が欲しがったミスタードーナツの移動販売のトミカを買いました。 さて今回は、保育園探しWebサービスであるホイシルの開発環境の改善のために、Floci(※ フローシーと読むのが正しいようです)というローカルAWSエミュレータを開発環境に導入したお話をさせていただきます。 どのような背景から必要になり、なぜFlociを選択し、何が得られたのか、Flociの特徴などについて説明していきます。 floci.io ホイシルにおけるAWS利用と…

AIが書いたコードのレビュー、つらくないですか？ LGTM本から得た気付きをきっかけに、生成AIを XP のペアプロ相手にする試みをはじめました。Claude Code への仕込み(SKILL.md・/retro) と、明日から試せる３ステップをご紹介します。

こんにちは！プロダクト開発部のせきねこです。ICTコドモンの請求関連機能を開発するチームに所属しています。先日久しぶりに風邪を引いてしまい、処方された点鼻薬が「シュッ！」と鼻に新鮮な感覚を届けてくれるのを面白く感じている今日この頃です🌷 カジュアル面談やインタビュー（面接）でお会いしたエンジニア職の希望者とお話させていただく中で「コドモンではどんな風に仕様を決めて開発しているんですか？」 という質問が何度かあり、今回はその問いにお応えする形で、最近チームで担当した給付費申請画面の刷新プロジェクトから仕様決めの実践例を紹介していきたいと思います！ 前提 実践したこと 1. 申請業務を行うユーザー…