診断内容
攻撃者が最初に見る場所を、先回りして点検
6つの観点、各20点・合計120点でスコア化します。見つかった問題は「確認済み」「推定」「要確認」の確からしさとともに表示するので、過剰に心配する必要はありません。
6つの観点
通信の暗号化
通信が正しく暗号化され、証明書が切れそうになっていないか。
- HTTPS への自動転送
- 古い TLS 1.0 / 1.1 の無効化
- 証明書の期限と発行元
- HSTS の設定
セキュリティヘッダー
ブラウザ側の守りを有効にする設定がそろっているか。
- Content-Security-Policy
- クリックジャッキング対策
- MIME スニッフィング対策
- Cookie の属性
ソフトウェアの更新状況
使っている CMS やライブラリが古く、既知の弱点を抱えていないか。
- WordPress・PHP などの版
- サポート終了（EOL）の製品
- 既知の脆弱性（CVE）との照合
- 悪用が確認された脆弱性の優先表示
公開物・攻撃面
公開する必要のないファイルや管理画面が、外から開けてしまわないか。
- .env・バックアップの置き忘れ
- .git などの開発用ファイル
- ディレクトリ一覧の表示
- 管理画面の露出
なりすましメール対策
会社のドメインをかたった「なりすましメール」を防げるか。
- SPF レコード
- DKIM 署名
- DMARC ポリシー
- MX の設定
DNS・ドメイン管理
ドメインそのものが乗っ取られたり、期限切れになったりしないか。
- ドメインの有効期限
- DNSSEC
- CAA レコード
- 類似ドメインの登録状況（詳細診断）
3つの診断モード
目的に合わせて、踏み込み方を選べます。
無料・非侵入型
簡易診断
DNS・証明書・応答ヘッダー・公開ファイルなど、普通のブラウザで見える範囲だけを確認します。所有権の確認は不要で、サイトに影響はありません。
スタンダード・単発購入
詳細診断
簡易診断に加えて、証明書の発行履歴からのサブドメイン洗い出しや、フィッシングに使われうる類似ドメインの登録状況まで調べます。
所有権の確認と同意が必要
能動検査
テスト環境として登録したドメインに限り、実際に検査用のリクエストを送り、既知の脆弱性の有無を確かめます。本番サイトには実施しません。
攻撃シナリオと、直す順番
個々の問題を組み合わせると、どんな被害につながりうるか。起こりやすさと影響の大きさから、ひとつの対処で多くのリスクを断てる順に並べます。