Webサイトのセキュリティ診断(無料・外部から実測)

公開されている情報だけを、一般の閲覧者と同じ方法で確かめます。ログインや攻撃は行いません。

当サイトのサーバーが、一般の閲覧者やメールサーバーと同じ方法で公開情報を確かめます。ログイン、攻撃、ポートスキャンは行いません。結果は保存しません(同じドメインの再診断を速くするため、実測値だけを10分ほど一時保管します)。

確かめる項目(18項目)

★は最重要の項目です。1つでも欠けると、点数にかかわらず評価を C までにします。「任意」は、できていれば望ましいものの中小企業の標準とまでは言えない項目です。未対応でも減点せず、できていれば「対応済みの追加対策」として示します。

SSL証明書が有効で、ドメイン名と一致している ★

何のために・チェックシートでの聞かれ方・直し方

何のために
証明書が切れていたり名前が合わなかったりすると、ブラウザが警告を出し、問い合わせフォームの入力も暗号化されません。偽サイトとの見分けもつかなくなります。

取引先のチェックシートでの聞かれ方
「Webサイトは SSL/TLS で暗号化していますか」「証明書の期限を管理していますか」

直し方
証明書を更新し、自動更新の設定を確かめます。手順を見る
古い暗号方式(TLS 1.0・1.1)を受け付けない

何のために・チェックシートでの聞かれ方・直し方

何のために
TLS 1.0 と 1.1 には既知の弱点があり、主要ブラウザも対応をやめています。残っていると、通信を盗み見られる余地が残ります。

取引先のチェックシートでの聞かれ方
「TLS 1.2 以上のみを使用していますか」

直し方
サーバーの管理画面か設定で TLS 1.2 以上だけを有効にします。手順を見る
http でアクセスしても https に転送される ★

何のために・チェックシートでの聞かれ方・直し方

何のために
http のままのページがあると、途中の通信を書き換えられたり、入力内容を読まれたりします。

取引先のチェックシートでの聞かれ方
「すべてのページを HTTPS で提供していますか」

直し方
サーバーの常時 SSL 化を有効にするか、.htaccess で 301 転送を書きます。手順を見る
HSTS で https を強制している

何のために・チェックシートでの聞かれ方・直し方

何のために
一度訪れたブラウザに「次からは必ず https で接続する」と覚えさせ、最初の http 接続を狙った乗っ取りを防ぎます。

取引先のチェックシートでの聞かれ方
「HSTS を設定していますか」

直し方
Strict-Transport-Security ヘッダーを max-age=31536000 程度で送ります。手順を見る
Content-Security-Policy を設定している任意

何のために・チェックシートでの聞かれ方・直し方

何のために
読み込んでよいスクリプトの出どころを制限し、改ざんやクロスサイトスクリプティングの被害を小さくします。

取引先のチェックシートでの聞かれ方
「Webアプリケーションの脆弱性対策(XSS 対策等)を行っていますか」

直し方
まず Report-Only で始め、問題がなければ本番の CSP に切り替えます。手順を見る
他のサイトに埋め込まれない設定(クリックジャッキング対策)

何のために・チェックシートでの聞かれ方・直し方

何のために
見えない枠に自社サイトを重ね、利用者に意図しないボタンを押させる手口を防ぎます。

取引先のチェックシートでの聞かれ方
「クリックジャッキング対策を行っていますか」

直し方
X-Frame-Options: SAMEORIGIN か、CSP の frame-ancestors を送ります。手順を見る
X-Content-Type-Options: nosniff

何のために・チェックシートでの聞かれ方・直し方

何のために
アップロードされたファイルを、ブラウザがスクリプトとして勝手に解釈するのを防ぎます。

取引先のチェックシートでの聞かれ方
「セキュリティ関連の HTTP ヘッダーを設定していますか」

直し方
X-Content-Type-Options: nosniff を全ページで送ります。手順を見る
Referrer-Policy を設定している任意

何のために・チェックシートでの聞かれ方・直し方

何のために
URL に含まれる情報(検索語や会員ページのパス)が、リンク先の外部サイトへ漏れるのを抑えます。

取引先のチェックシートでの聞かれ方
「セキュリティ関連の HTTP ヘッダーを設定していますか」

直し方
Referrer-Policy: strict-origin-when-cross-origin を送ります。手順を見る
Cookie に Secure・HttpOnly・SameSite が付いている

何のために・チェックシートでの聞かれ方・直し方

何のために
ログイン状態などの Cookie を、暗号化されていない通信やスクリプトから盗まれにくくします。

取引先のチェックシートでの聞かれ方
「セッション管理を適切に行っていますか」

直し方
CMS やアプリの設定で Cookie 属性を付けます。PHP なら session.cookie_secure などです。手順を見る
https のページで http の部品を読み込んでいない

何のために・チェックシートでの聞かれ方・直し方

何のために
ページが https でも、http で読み込んだスクリプトや画像は書き換えられる余地があり、ブラウザも警告やブロックを行います。

取引先のチェックシートでの聞かれ方
「すべてのページを HTTPS で提供していますか」

直し方
テンプレートや記事内の http:// の URL を https:// に置き換えます。手順を見る
サーバーや言語の版数を外に出していない

何のために・チェックシートでの聞かれ方・直し方

何のために
版数が見えると、その版の既知の弱点を狙う攻撃の手間が省けてしまいます。版数を隠すこと自体は防御ではありませんが、余計な手がかりは減らします。

取引先のチェックシートでの聞かれ方
「不要な情報を公開していませんか」

直し方
Server と X-Powered-By ヘッダーから版数を消します(PHP は expose_php = Off)。手順を見る
古い JavaScript ライブラリ・CMS を使っていない

何のために・チェックシートでの聞かれ方・直し方

何のために
古い jQuery や CMS には公表済みの脆弱性があり、自動化された攻撃の標的になります。

取引先のチェックシートでの聞かれ方
「OS・ミドルウェア・ソフトウェアを最新に保っていますか」

直し方
CMS・テーマ・プラグインを更新し、テーマに同梱の古いライブラリは差し替えます。手順を見る
WordPress のユーザー名や版数が見えない

何のために・チェックシートでの聞かれ方・直し方

何のために
ユーザー名が分かると、パスワードの総当たり攻撃が半分済んだ状態になります。XML-RPC は総当たりの入口に使われます。

取引先のチェックシートでの聞かれ方
「CMS の管理画面・ログインの保護を行っていますか」

直し方
REST API のユーザー一覧と ?author= の転送を止め、使わないなら XML-RPC を無効にします。手順を見る
debug.log・設定ファイルの残骸・ディレクトリ一覧が公開されていない ★

何のために・チェックシートでの聞かれ方・直し方

何のために
設定ファイルの控えや debug.log には、データベースのパスワードやサーバーの内部情報が書かれていることがあります。見られた時点で侵入の一歩手前です。

取引先のチェックシートでの聞かれ方
「不要なファイルを公開領域に置いていませんか」

直し方
該当ファイルを削除し、データベースのパスワードを変更します。ディレクトリ一覧は Options -Indexes で止めます。手順を見る
脆弱性の連絡先(security.txt)を公開している任意

何のために・チェックシートでの聞かれ方・直し方

何のために
外部の人が弱点に気付いたとき、どこへ知らせればよいかが分かります。知らせが届かなければ、直す前に悪用されます。

取引先のチェックシートでの聞かれ方
「脆弱性の報告を受け付ける窓口がありますか」

直し方
/.well-known/security.txt に Contact と Expires を書いて置きます。手順を見る
ドメインの有効期限に余裕がある

何のために・チェックシートでの聞かれ方・直し方

何のために
ドメインが切れると、サイトだけでなく会社のメールも止まります。切れたドメインを第三者に取られると、取り戻せないことがあります。

取引先のチェックシートでの聞かれ方
「ドメインの更新管理を行っていますか」

直し方
登録事業者の管理画面で自動更新をオンにし、支払いカードの期限を確かめます。手順を見る
証明書を発行できる事業者を CAA で限定している任意

何のために・チェックシートでの聞かれ方・直し方

何のために
自社が使っていない認証局から、勝手に証明書を発行される余地を減らします。

取引先のチェックシートでの聞かれ方
「DNS の設定を適切に管理していますか」

直し方
DNS に CAA レコード(例: 0 issue "letsencrypt.org")を追加します。エックスサーバーなど、管理画面で CAA を選べない DNS もあります。その場合は、この項目のために DNS を移すほどではありません。手順を見る
DNSSEC を有効にしている任意

何のために・チェックシートでの聞かれ方・直し方

何のために
DNS の応答に署名を付け、偽の応答で別のサーバーへ誘導される攻撃を防ぎます。

取引先のチェックシートでの聞かれ方
「DNS の改ざん対策を行っていますか」

直し方
登録事業者と DNS 事業者が対応していれば、管理画面から有効にできます。手順を見る

採点のしかた

項目ごとに重み(1〜3)を付け、満たしていれば満点、一部なら半分、満たしていなければ0点として100点満点に直します。外から確かめられない項目や、当てはまらない項目(WordPress でないサイトの WordPress 項目など)は分母から外します。任意の項目は採点に入れません。評価は A(85点以上)・B(70点以上)・C(50点以上)・D(30点以上)・E(0点以上) です。

採点の重み・★・任意の区分・評価の境目は、2026年11月2日時点の設定値です。監修者の確認を経ながら調整中のため今後変わることがあり、同じ設定でも以前の結果と点数が変わる場合があります。

結果は診断した時点の目安で、安全を保証するものではありません。サーバーの内部、管理画面のパスワード、すでに侵入されていないかは、外からは分かりません。

ほかの領域

5領域のまとめを見る →