サイト総合セキュリティ診断
自分が管理するサイトへ、このブラウザ専用の確認コードを設置してから点検します。.envや.git等の誤公開、TLS・公開ヘッダー・メール認証などの固定項目を確認します。Cookieだけでは実行できず、URLを開くだけでも診断しません。参考評価はサイト全体の安全性を保証しません。
結果の表示と入力ドメイン
診断後の結果をサーバーへ保管せず、この画面に直接返します。結果はこの画面で表示され、再読み込みすると消えます。再読み込みだけでは再診断しません。解除操作でも表示を消せます。
入力ドメインはURLやアクセスログ等に残る場合があります。パスワード・接続情報・個人情報を入力しないでください。
使い方
- 1
自分のサイトのドメインを入力
例：example.com。「確認コードを準備する」で、このブラウザ専用のコードを発行します。この操作では対象サイトへ接続しません。
- 2
所有を確認（3つの方法から1つ）
画面のコードを、①HTTPSトップページの<head>内のメタタグ、②DNS TXT、③HTTPSの/.well-known/内のファイルのいずれかへ設置します。本文やコメント内のタグでは確認できません。コードとCookieの期限は最大8時間です。
- 3
「設置を確認して総合診断を実行」を押す
コードを準備した同じブラウザで実行します。設置を確認してから固定項目を取得し、参考評価と未確認項目を表示します。結果は同じ画面へ直接返し、診断後にサーバーで保管しません。再読み込みで結果は消えますが、自動で再診断しません。
- 4
赤→黄の順に直す
検出内容と未確認の項目を区別し、自分の環境で原因を確認してから修正します。AI向けの文面は参考です。変更前のバックアップと、変更後の動作・再診断を確認してください。
- 5
必要なときに手動で再確認
設定を直したら、同じサイトをもう一度点検してください。定期監視は、継続的な実行権限と解除の仕組みを整えるまで、新規受付・開始・診断実行を停止しています。手動診断は利用できます。
なぜ重要か
よくある質問
Qなぜ所有確認が必要なの？
機密ファイルの公開有無を調べるため、第三者の無断診断に使われないようにする必要があります。このブラウザ専用のコードを管理サイトへ設置したことを確認してから実行します。公開コードをコピーしただけの別ブラウザや、Cookieだけの操作では実行できません。これは氏名などの本人確認ではありません。
Q診断でサイトに負荷はかかる？
サーバーから対象サイトへ複数回接続するため、負荷はゼロではありません。固定のパスを確認し、任意のURL指定や総当たり、攻撃コードの実行は行いません。実行頻度と同時実行数にも上限を設けています。負荷に弱い環境では事前に管理者へ確認してください。
Q総合グレードが高ければ完全に安全？
いいえ。本ツールは高シグナルな代表的項目を確認するもので、すべてのリスクを網羅するわけではありません。緑でも過信せず、最小公開・最小権限の原則と、依存（OSVスキャナ）・ヘッダ・メール認証の継続的な点検を併せてください。