株式会社セルフプラスは、ECサイトやWebサイトを運営する企業向けに、公開されている情報だけで外から見える弱点を確認する「セキュリティ無料診断」の受付を開始した。サイトのURLを送信することで申し込むことができ、PHPやCMSのバージョン表示、SSL証明書、メールの認証設定などを確認する。診断後は、見つかった点と優先順位をまとめたレポートが提供される。

公開情報に基づく9つの診断項目

本診断は、公開されているページを通常どおり読み込み、公開DNSの情報などを確認する手法をとる。攻撃や侵入テスト、攻撃にあたる通信を送る脆弱性スキャンは行わない。確認対象は以下の9項目となる。

1. SSL/TLS証明書と期限（証明書の有効性・有効期限と、HTTPからHTTPSへの転送を確認）
2. セキュリティ関連のHTTPヘッダー（HSTS・CSP・X-Frame-Optionsなど、ブラウザ側の保護に関する設定を確認）
3. 外から見えるCMS・カート・サーバーのバージョン（公開ページのソースやヘッダーに表示されるCMS・カート・PHP・Webサーバーの版を確認し、古い版ではないかを調査）
4. 古いJavaScriptライブラリ（公開ページで読み込まれているライブラリの版を確認し、脆弱性が公表された古い版ではないかを調査）
5. 管理画面のログインページ（よく知られたURLのまま、外からログインページが見つかる状態かを確認。ログインは試行せず）
6. フォームのスパム対策（問い合わせや会員登録などのフォームに、機械による大量送信を防ぐ仕組みがあるかを確認）
7. メールの認証（SPF・DKIM・DMARC）（公開されているDNSの情報からSPF・DMARCの設定と、DKIMの設定を外から確認できるかを調査）
8. 外部スクリプトの数と提供元（計測タグ・広告タグ・チャットなど、公開ページが読み込む外部スクリプトの数と提供元を整理）
9. 公表済みの脆弱性情報との照らし合わせ（外から確認できたCMS・カート・PHPなどの版を、公表済みの脆弱性情報と照合）

診断の流れとレポート提供

診断後は、見つかった点、急ぐ順の優先順位、直し方の方向をまとめたレポートが提供され、オンラインで内容の説明が実施される。保守会社やサーバー会社に共有できる判断材料として利用できるとしている。

申し込みは専用フォームからサイトのURLを入力して行い、公開ページとDNSの情報をもとに調査が進められる。管理画面のアカウントやサーバーのパスワードを預かることはない。

診断の対象範囲と注意事項

本診断は、診断時点で外から見える範囲を確認するものであり、サイトの安全性を保証したり、不正アクセスや情報漏えいを防止できることを保証したりするものではないとしている。

なお、管理画面の設定やサーバー内部の確認は別途相談となるほか、改ざん・不正アクセスの調査や除去、法的判断は引き受けていない。

株式会社セルフプラスの概要

同サービスの提供元である株式会社セルフプラスの概要は以下の通り。

• 会社名：株式会社セルフプラス
• 代表者：代表取締役 黒岩 俊児
• 所在地：東京都練馬区春日町6-8-5
• 取材のお問い合わせ：info@self-plus.co.jp

本記事は株式会社セルフプラスの発表をもとに作成。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。