# ウェブサイトセキュリティ診断を1分以内で完了。 ウェブサイトセキュリティ診断は小規模事業のサイト向けです。HTTPS、セキュリティヘッダー、メール設定、トラッカーを確認し、修正方法をPDFでダウンロードできます。 ## ウェブサイトセキュリティ診断では何を確認しますか？ スキャンはホームページに対して28項目を確認します。HTTPSとリダイレクト、セキュリティヘッダー、Cookie、メールとDNSのレコード、外部スクリプト、トラッカー、古いライブラリが対象です。結果ごとに、直すべき点、詳しく見るべき点、確認できなかった点を示します。 ### HTTPS接続 暗号化された接続で応答し、今後もHTTPSを使うようブラウザに指示していますか？ ### ブラウザーの保護 サイトは不要なスクリプトをブロックし、他のサイトによる埋め込みを防ぎ、ブラウザにファイルの種類を推測させないようにできていますか。 ### Cookie、トラッカー、ソフトウェア Cookieの設定、訪問者が同意する前に読み込まれるトラッカー、古いJavaScriptライブラリ、サイトが明かしているソフトウェアのバージョンを確認します。 ## ウェブサイトセキュリティ診断をより役立てる ### ウェブサイトセキュリティ診断で分かること ウェブサイトセキュリティ診断では、ホームページがすべての訪問者に送っている設定がわかります。HTTPS、セキュリティヘッダー、Cookie、メール設定、トラッカー、サイトが明かしているソフトウェアを確認します。ウェブサイトセキュリティ診断の結果をもとに開発者への質問をまとめ、変更前の状態を日付つきで残してください。 ### ウェブサイトセキュリティ診断の結果を読む ウェブサイトセキュリティ診断は、結果をホスティング会社に急いで確認してもらう項目、直すべき設定、サイトの仕組みによって判断が変わる項目に分けます。任意のヘッダーがないことは攻撃のしるしではありません。ウェブサイトセキュリティ診断のスコアは0から100で、合格したチェックの割合を示します。色を見れば、何から確認すべきかがわかります。 ### ウェブサイトセキュリティ診断の前後に行うこと ホスティングやセキュリティ設定を変える前にウェブサイトセキュリティ診断を行い、比較の基準を残してください。ルールを厳しくする前に、決済ページ、ログイン、埋め込みサービスを確認してください。変更後はもう一度ウェブサイトセキュリティ診断を行い、前回のレポートと比べ、実際のブラウザでサイトを確認してください。ソフトウェアの更新とアカウントの安全は日頃の保守に含めてください。 ### ウェブサイトセキュリティ診断を開発者と共有する ウェブサイトセキュリティ診断は、作業する人が結果を見られると活かしやすくなります。PDFをダウンロードするか、レポートのリンクを開発者に送ってください。各レポートにはスキャン日時が表示されます。ウェブサイトの所有者は、サイトを管理していることを証明した後にレポートを公開することもできます。 ## サイトのセキュリティに関する質問 ### ウェブサイトセキュリティ診断で安全性を証明できますか？ いいえ。公開設定の一部を確認するだけです。すべての脆弱性、マルウェア、コードの不具合、乗っ取られたアカウントを見つけることはできません。本格的なセキュリティ監査はさらに多くを調べます。 ### ウェブサイトセキュリティ診断はサイトに影響しますか？ ほとんど影響はありません。スキャンはDNSレコードを照会し、HTTPSと暗号化されていないHTTPでホームページを取得し、最大5回のリダイレクトをたどり、security.txtを読み取り、クラウドのブラウザでホームページを1回読み込みます。他のページを開いたり、フォームを送信したり、ログインしたり、攻撃を試したりはしません。サイトがスキャンをブロックすると、結果は不完全になります。 ### ウェブサイトセキュリティ診断が1日2回までなのはなぜですか？ この制限により、ツールを無料のまま提供でき、ウェブサイトへの無駄なアクセスも防げます。 ### ウェブサイトセキュリティ診断の色は何を意味しますか？ 赤は、既知の重大な欠陥がある古いPHPのように、ホスティング会社に急いで確認してもらうべき項目です。オレンジは直すべき設定です。青は詳しく見る価値がある項目です。緑はチェックに合格した項目です。グレーは確認できなかった項目です。どの色もサイトが乗っ取られたことを意味しません。 ### ウェブサイトセキュリティ診断でPHP2Shellを検出できますか？ 修正済みのリリースより古いPHPのバージョンを指摘できます。バージョンを示すヘッダーは誤っていたり、隠されていたり、書き換えられていたりすることがあり、古いバージョンに修正を当てているホスティング会社もあります。インストールされているPHPのバージョンと修正状況をホスティング会社に確認してください。攻撃用のリクエストは一切送りません。PHPのヘッダーがなくても、PHPがない、または修正済みとは限りません。 ### ウェブサイトセキュリティ診断がソフトウェアのヘッダーを指摘する理由は？ バージョン情報があると、脆弱なソフトウェアを使うサイトが見つけやすくなります。できる範囲で削除してください。隠しても何も直らないので、ソフトウェア自体を最新に保ってください。 ### ウェブサイトセキュリティ診断の後は何をすべきですか？ まず赤の項目から始め、次にオレンジの項目を開発者やホスティング会社と確認してください。厳しいルールは決済、フォーム、埋め込みコンテンツを壊すことがあるので、ヘッダーの変更は公開前にテストしてください。結果を共有するにはPDFをダウンロードしてください。Mecanik Devが適切な修正を選び、作業を行います。 ### ウェブサイトセキュリティ診断の結果は公開されますか？ いいえ。スキャンは非公開です。レポートを公開できるのはウェブサイトの所有者だけで、DNSレコードまたはファイルでサイトを管理していることを証明した後に公開できます。非公開のリンクやPDFを共有することはできます。アカウントもメールも不要です。 ## レポートに含まれる確認項目 ### 暗号化された接続 HTTPSはサイトと訪問者の間のデータを暗号化します。これはスキャナーが安全に接続できたことを示すものです。サイトの他の部分はテストしていません。 ### HTTPからHTTPSへのリダイレクト https:// を付けずにアドレスを入力した訪問者は、すぐに安全なサイトへ移動させるべきです。その後はHSTSがブラウザをHTTPSに保ちます。 ### HTTPSの利用を継続 Strict-Transport-Securityを6か月以上のmax-ageで設定してください。includeSubDomainsやpreloadを加える前にサブドメインを確認してください。 ### 実行可能なコンテンツを制御 Content-Security-Policyは、ページが読み込めるスクリプトやコンテンツを決めます。適切なルールはサイトによって違い、ポリシーがないこと自体は脆弱性ではありません。ページがHTMLでポリシーを設定している場合は、ブラウザでのチェックがそれを読み取ります。report-onlyのポリシーは何もブロックしません。 ### 誤解を招く埋め込みを防止 CSPのframe-ancestorsまたはX-Frame-Optionsを使い、本当に埋め込む必要があるサイトだけを許可してください。 ### ファイル形式の推測を制限 X-Content-Type-Optionsをnosniffに設定すると、ブラウザは各ファイルをサーバーが示す種類として扱います。 ### 他サイトに送る情報を制限 Referrer-Policyを明示すると動作がはっきりします。最近のブラウザは初期設定でこれを制限しているため、ヘッダーがなくてもデータが漏れているとは限りません。 ### 機密性の高いブラウザ機能を制限 Permissions-Policyでは、サイトのカメラ、マイク、位置情報をオフにできます。適切な設定はサイトの用途によって変わります。 ### X-Powered-Byの情報公開 実行環境の情報はできる範囲で削除してください。サイトが特定されにくくなりますが、アップデートは引き続き必要です。 ### サーバーバージョンの公開 バージョン番号を隠し、サーバーを最新に保つようホスティング会社に依頼してください。バージョンのないサーバー名は問題ありません。 ### PHP修正状況の確認 PHP2Shellは、PHPそのものにある2つの重大な欠陥の名前です。ヘッダーはバージョンを示すだけで、誤っていたり、ホスティング会社が当てた修正が反映されていなかったりします。インストール済みのバージョンを最新のPHPセキュリティ情報と照らし合わせるよう依頼してください。ヘッダーを隠しても何も直りません。 ### HTTPS専用のCookie Secureは、CookieをHTTPSでしか送らないという意味です。確認できるのはホームページの応答で設定されたCookieだけです。ログイン後やスクリプトで設定されるCookieは対象外で、Cookieの値がレポートに載ることはありません。 ### セッションCookieの保護 HttpOnlyは、ページ上のスクリプトがCookieを読むのを防ぎます。セッションCookieは名前から推定しているため、開発者に確認してください。 ### サイト間Cookieの規則 SameSiteは、他のサイトからのリクエストにCookieをいつ付けるかを決めます。連携によってはNoneが正しい場合もあり、設定がなければブラウザが既定値を使います。 ### 異なるオリジンからのアクセス CORSはAPIや共有ファイルでよく必要になります。ワイルドカードだけで非公開データが漏れるわけではありません。このホームページのチェックでは、APIがどのオリジンでも信頼しているかはわかりません。 ### ブラウザーウィンドウの分離 COOPは、他のサイトが開いたウィンドウからページを切り離します。決済やログインのポップアップには緩い設定が必要な場合があります。COOPがないだけでサイトが攻撃可能になるわけではありません。 ### リソースの埋め込み規則 Cross-Origin-Resource-Policyは、どのサイトがあなたのファイルを埋め込めるかを決めます。公開画像や共有ファイルは開いたままにする必要がある場合があります。ほとんどのページには不要です。 ### メール送信元ポリシー（SPF） SPFは、あなたのドメインを名乗る偽のメールをメールサーバーが拒否するのに役立ちます。メールを送らないドメインなら v=spf1 -all を公開してください。確認するのはメインのドメインです。 ### メールなりすまし対策ポリシー（DMARC） DMARCは、SPFとDKIMに失敗したメールをどう扱うかをメールサーバーに伝えます。まず監視モードで始め、レポートを読み、その後 quarantine または reject に切り替えてください。 ### 認証局のルール（CAA） CAAレコードは、このドメインの証明書を発行できる認証局を示します。証明書が誤って発行される危険を減らせます。利用しているすべての事業者を含めてください。 ### 署名付きDNS（DNSSEC） DNSSECにより、リゾルバーは偽のDNS応答を見分けられます。設定を誤るとドメインにつながらなくなるため、DNS事業者とレジストラで一緒に有効にしてください。 ### セキュリティ連絡先（security.txt） ContactとExpiresを含む /.well-known/security.txt を公開して、問題を見つけた人が連絡方法をわかるようにしてください。 ### 安全でないページリソース 安全でないファイルは途中で書き換えられることがあり、ブラウザにブロックされてページが崩れることもあります。これらのアドレスをHTTPSに変更してください。確認したのはホームページだけです。 ### 外部サービス 外部のスクリプトやサービスは、どれも訪問者を見てページを変更できます。一覧は短く保ち、使っていないものは外し、各事業者に何が渡るかを確認してください。外部サービスを使うこと自体は脆弱性ではありません。 ### 同意前のトラッキング GDPRなどのプライバシー法では、通常、必須でないトラッキングの前に同意が必要です。スキャナーは当社のサーバーからページを1回読み込み、何も承諾しません。同意管理ツールは国によって動作が変わることがあるため、ご自身の設定も確認してください。 ### 古いJavaScriptライブラリ jQuery、jQuery UI、Bootstrap、AngularJS、Lodash、Moment.jsは、バージョンを示している場合に識別できます。該当するライブラリ、またはそれを含むテーマやプラグインを更新し、サイトをテストしてください。 ### スクリプトの整合性チェック Subresource Integrityにより、ブラウザは書き換えられたスクリプトファイルを拒否できます。CDNのバージョン付きファイルに向いています。タグマネージャーのように意図的に変わるスクリプトには向きません。 ### ウェブサイトのプラットフォームのバージョン バージョン番号つきのgeneratorタグがあると、自動化された攻撃の標的になりやすくなります。できる範囲で削除し、プラットフォーム、テーマ、プラグインを最新に保ってください。バージョンを隠しても何も直りません。 ## プライバシー通知 不正利用を防ぎ、苦情や法的な要請に対応するため、Mecanik Dev Ltdはすべてのスキャンの記録を保管します。記録には、ウェブサイト、日時、通知のバージョン、お客様のIPアドレス、ブラウザとデバイスの情報、IPアドレスから推定される大まかな所在地が含まれます。これらの記録は30日間保管し、その後削除します。マーケティングには使用せず、法律で求められた場合にのみ共有します。 ホスティングとセキュリティの提供元は、サービスとボット対策チェックを動かすためにIPアドレスを処理し、独自のログを保管します。スキャンへの同意はマーケティングへの同意ではありません。PDFはお使いのブラウザが作成します。 管理者の連絡先、データに関する権利、サービス提供者については、メインのプライバシーポリシーをご覧ください。 レポートを公開すると、ドメイン、スキャン日時、結果を最長90日間保存します。公開一覧には各ウェブサイトの最新レポートが表示されます。非公開のスキャンが保存されることはありません。以前の公開レポートは期限切れか削除まで公開されたままです。公開レポートに訪問者のIPアドレス、ブラウザ情報、許可の記録、Cookieの値が含まれることはありません。 テーマの選択はこのブラウザに保存されます。言語の切り替えで再診断が必要にならないよう、現在のレポートはこのタブのセッションストレージに保持されます。保存済みの設定や結果を削除するには、ブラウザのストレージを消去してください。