目的から探す
無料診断・修正
調べたいものからツールを選び、結果を見て設定や運用を見直す。診断・検査は既知の問題の確認を助けるもので、安全性を保証するものではありません。
入力前に通信区分を確認してください
ブラウザ内処理、外部APIを使う処理、当サイトのサーバーで行う処理を区別しています。送信される項目や診断条件は、各ツールの説明をご確認ください。総合診断はサイト側の所有確認が必要です。
何を調べたいかで診断を選ぶ
登録不要・取得範囲と負荷を制限
公開サイト・DNSを基本診断
ヘッダーやHTMLはトップページ等の限定範囲、メール認証は公開DNSを確認します。.envや.gitの探索は行いません。
ヘッダーを基本診断する →サイト管理権限の確認が必要
管理サイトの誤公開を詳しく診断
.envや.git等の固定項目は、専用コードを設置し、準備した同じブラウザから実行します。ログイン機能と継続監視の新方式は準備中です。
所有確認の手順を見る →OSVの脆弱性照会と任意のパスワード漏洩照合は、ブラウザから外部APIへ通信します。 「登録不要」と「通信なし」は別です。各ツールの送信先・送信内容を確認してください。
目的から始める
何を確認したいですか？
設定の点検・期限の確認・防御の体験
Webサイト・メールの設定
公開応答、ドメイン設定、自分のサイトの設定を確認。
セキュリティヘッダ診断 →
登録不要でトップページ等の公開ヘッダーをサーバーから取得し、CSP・HSTS等を参考評価します。個別パス・クエリ付きURLは対象外で、未確認項目を区別します。
SPF / DKIM / DMARC チェッカー →
登録不要で公開DNSのSPF・DKIM・DMARC設定を点検します。WebサーバーへのHTTP取得は行わず、実メールの署名や送信元との整合は検証しません。
サイト透明性チェッカー →
登録不要でトップページ等のHTMLにある外部スクリプトやフォーム送信先を点検します。個別パスは取得せず、実際の通信や送信なしを保証しません。
サイト総合セキュリティ診断 →
専用コードを設置し、準備した同じブラウザから管理サイトの固定項目を点検。.env/.git等の誤公開・TLS・ヘッダー・メール認証を確認します。参考評価は完全な監査ではありません。継続監視の確認方式は移行準備中です。
脆弱性・依存パッケージ
CVEや依存関係を調べ、対応の優先順位を考える。
CVE / KEV ルックアップ →
CVE番号から影響範囲・修正情報・CVSS・EPSSの推定・KEV掲載を確認します。データベースと公開情報を照会する機能で、対象サイトへの診断は行いません。
依存パッケージ脆弱性スキャナ →
package.jsonやlockfileをブラウザ内で解析し、パッケージ名とバージョンを外部のOSV APIへ送って照合します。影響範囲と修正版の情報を確認できます。
CVSS 計算・ベクター読解 →
CVSS のベクター文字列を貼るだけで、v3.x の基本スコアを仕様どおりに計算し、各項目が何を意味するかを読み解きます（v4.0 は項目の解説）。
コード・認証・ポリシー
秘密情報、JWT、CSPの文字列や設定をブラウザ内で検査。
シークレット漏れ検出 →
コードや設定を貼り付けて、ハードコードされた APIキー・トークン・秘密鍵を検出します。
JWT デコーダ / 検査 →
JWTのヘッダー・ペイロードをブラウザ内でデコードし、形式や日時を点検します。署名・発行者・実際の有効性は検証しません。
CSPビルダー / チェッカー →
Content-Security-Policy を貼り付けて、危険な設定（unsafe-inline 等）を診断し、より厳格なポリシーを組み立てます。
パスワード
強度と、既知の漏洩データに含まれるかを別々に確認。
AIセキュリティ
AIの権限・機密情報の扱いを学ぶ
権限をどこまで渡すか、何を送信してよいか、どこで人の確認を挟むか。ガイドと模擬演習で考えます。