TLS・証明書
証明書の有効期限、TLSバージョン、暗号スイート、鍵種別、HTTPからHTTPSへの転送を確認します。
合法・低負荷の外部セキュリティ診断
公開情報だけを対象に、Webサイトの基礎的な安全性を可視化します。
公開情報のみ
本診断は、公開ページ・公開DNS・TLSなど、誰でも閲覧できる情報だけを対象にします。侵入テスト・攻撃コードの送信・ポートスキャン・ログイン試行は行いません。
What We Check
9項目の公開情報チェック
専門知識がなくても読みやすいレポートにまとめ、改善の優先順位をご提案します。
セキュリティヘッダー
CSP、HSTS、X-Content-Type-Options、COOP/COEP/CORPなど、ブラウザ側の防御設定を確認します。
Cookie属性
Secure、HttpOnly、SameSite、__Host-/__Secure- プレフィックスの設定を確認します。
DNS・メール認証
SPF、DMARC、MX、DNSSEC、CAA、MTA-STS、TLS-RPTの設定とポリシー強度を確認します。
公開バージョン情報
Serverヘッダー、generator、公開JSなどから、古いソフトウェアの痕跡がないか確認します。
混合コンテンツ
HTTPSページ内にhttp://の画像・スクリプト・フォームがないか確認します。
公開ファイル
robots.txt、sitemap.xml、security.txtの公開状況と、security.txtのContact/Expiresを確認します。
PageSpeed・モバイル
Google PageSpeed Insightsで、モバイル表示やHTTPS対応の基礎情報を確認します（任意）。
評判チェック
Google Web Risk / PhishTankの公開データと照合し、既知の脅威情報がないか確認します。
Legal Boundary
合法であるために、
やらないことを決めています。
「攻撃して脆弱性を見つける」のではなく、「公開されている情報から改善点を整理する」。この線引きを明確にし、相手先への配慮と説明責任を重視します。
- ×許可なくログインを試す、認証を回避する
- ×SQLインジェクション・XSSなどの攻撃ペイロードを送る
- ×ポートスキャン、ディレクトリ爆破、非公開パスの探索
- ×大量リクエストで相手サーバーに負荷をかける
- ×ページ本文や個人情報を大量に保存する
- ×診断結果を公開・晒す、脅迫的な営業を行う
Legal Compliance
日本の法令・運用ルールを踏まえた設計
以下の内容は一般的な整理であり、個別案件の法的判断を保証するものではありません。必要に応じて専門家にご確認ください。
不正アクセス禁止法
認証を回避したり、許可なく管理画面へアクセスする行為は行いません。公開ページの閲覧と公開DNSの照会に限定します。
電子計算機損壊等業務妨害
大量リクエストや攻撃的な検査で相手の業務を妨げません。低頻度・同時接続数の制限・停止機能を備えます。
個人情報保護法
診断では個人情報を収集しません。ご案内メールを送信する場合のみ、送信先メールアドレスと送信履歴を必要最小限の範囲で管理します。
著作権法
ページ本文を複製・転載しません。診断に必要な最小限の証拠（ヘッダー名など）のみを保存します。
特定電子メール法
本診断の案内メールは、送信根拠を確認したうえで手動送信します。広告・宣伝を含む場合はオプトインを前提とし、配信停止の手段を必ず案内します。
相手先への配慮
robots.txt、opt-out、利用規約を尊重します。停止依頼があったドメインは以後の診断対象から除外します。
Flow
ご利用の流れ
対象サイトの確認
診断対象のドメインと目的を確認します。お客様ご自身のサイトはもちろん、公開情報のみの事前調査にも対応します。
公開情報の診断
公開ページ・公開DNS・TLSなど、誰でも閲覧できる範囲だけを低頻度で確認します。必要に応じてopt-outを尊重します。
レポート・改善提案
検出内容を「リスク」「注意」「スキップ」に整理し、優先して直すべき項目を日本語でご説明します。
改善・再診断
必要に応じて設定変更や実装を支援し、改善後の再診断で変化を確認します。
FAQ
よくあるご質問
本当に合法ですか？+
本診断は、公開ページの閲覧、公開DNSの照会、TLSハンドシェイクなど、誰でも利用できる情報の範囲で行います。侵入・認証回避・攻撃コードの送信は行いません。ただし、相手先の利用規約や個別の事情により取扱いが変わる場合があります。詳細は個別にご確認ください。
相手サイトに負荷をかけませんか？+
1ドメインあたりのHTTPリクエストを通常4〜7回（リダイレクト含め最大12回）に抑え、同時接続は最大10ドメイン・リクエスト間隔1秒以上で運用します。robots.txtが全クロールを禁止している場合はHTTP検査をスキップします。
第三者サイトを勝手に診断してもよいですか？+
公開情報のみの範囲であっても、相手先の利用規約・opt-out・業界ルールを確認する必要があります。当社は除外依頼があったドメインを以後の対象から外します。より深い診断（認証後・設定変更を伴うもの）は、対象サイトの許可を得た場合に限ります。
どんなレポートが届きますか？+
9項目の判定、主な指摘、改善の優先度、専門用語の説明をまとめたレポートです。必要に応じて、経営者向けの要約や改善計画も作成します。
診断結果は公開されますか？+
いいえ。診断結果はご依頼者さまとの間でのみ共有し、公開・晒し行為は行いません。重大な問題を発見した場合は、対象サイトの公開連絡先へ非公開で通報する運用を検討します。
無料ですか？+
初回の公開情報診断・ご相談は無料です。詳細なレポート作成、設定変更、継続監視、再診断は別途お見積りとなります。