Webセキュリティ用語辞典　CVE・HSTSなど診断報告書に出る語を、日英併記で略語の元から事例まで引ける

この辞典は、Webサイトのセキュリティ診断の報告書に出る用語を、日本語と英語で並べて説明します。 一緒に設定したり確かめたりする語は、1つのページにまとめています。

語ごとに、次の8つを書いています。

1. 用語（英語と日本語）
2. 何の略か
3. 日本語では何と呼ぶか
4. 一言の定義
5. どんなリスクがあるか
6. どんな運用をしている人が影響を受けるか
7. 実際のハッキング事例（出典付き）
8. 分類番号（CWE、OWASP Top 10、事例の CVE）

事例と番号は、公的機関や開発元の一次資料で確かめたものだけを載せています。 確かめられなかったものは、「確認できませんでした」と書いています。

自分のサイトを点検したいときは、プロンプト駅の「セキュリティ点検」で、AIに頼む文を作れます。 外からの実測による点検は、Webサイトセキュリティ診断で承ります。

語のまとまりから探す

• CVE・CWE・CVSSの違いとは　脆弱性の番号と深刻度の読み方を、Equifaxの情報流出で解説
  脆弱性に付く番号と点数（CVE、CWE、CVSS、JVN、KEV）を、日本語と英語で並べて説明する用語集のページです。WordPress のプラグインの告知に出る番号の読み方と、更新の順番の決め方が分かります。
  収録語は Vulnerability、Zero-day、CVE、CWE、CVSS、JVN、KEV（7語）
• OWASP Top 10とは　Webサイトの危険な弱点10分類を2025年版の一覧で読む
  OWASPとOWASP Top 10の2語を、日本語と英語で並べて説明する用語集のページです。2025年版の10分類の一覧と、この辞典のどの用語がどの分類にあたるかが分かります。
  収録語は OWASP、OWASP Top 10（2語）
• SPF・DKIM・DMARCの違いとは　なりすましメールを防ぐ3つの送信ドメイン認証の役割と設定
  SPF、DKIM、DMARC、なりすましメールの4語を、日本語と英語で並べて説明する用語集のページです。3つの送信ドメイン認証がそれぞれ何を確かめるか、設定しないと何が起きるか、DNSでの確かめ方が分かります。
  収録語は SPF、DKIM、DMARC、Email Spoofing（4語）
• TLSとSSLの違いとは　HTTPS・サーバー証明書・暗号スイートの意味と、TLS1.2以上にする設定
  TLS、SSL、HTTPS、サーバー証明書、中間証明書、暗号スイートの6語を、日本語と英語で並べて説明する用語集のページです。何の略か、古い設定だと何が起きるか、nginx と Apache での設定例が分かります。
  収録語は TLS、SSL、HTTPS、Server Certificate、Intermediate Certificate、Cipher Suite（6語）
• WAF・IDS・IPSの違いとは　攻撃の通信を見つける仕組みと止める仕組みを1表で比べる
  WAF、IDS、IPSの3語を、日本語と英語で並べて説明する用語集のページです。どれが攻撃を見つけるだけで、どれが止めるのか、設定を誤ると何が起きるかが分かります。
  収録語は WAF、IDS、IPS（3語）
• WordPressの脆弱性用語5つ　xmlrpc.php・ユーザー列挙・REST API・プラグインとテーマの穴を実例のCVEで解説
  WordPressのサイトで狙われやすい5つの用語を、日本語と英語で並べて説明する用語集のページです。xmlrpc.php、ユーザー列挙、REST API、プラグインの脆弱性、テーマの脆弱性について、何が起きるかと実際のCVE番号が分かります。
  収録語は xmlrpc.php、User Enumeration、REST API、Plugin Vulnerability、Theme Vulnerability（5語）
• X-Forwarded-Forの偽装とは　リバースプロキシの裏で送信元のIPアドレスを書き換えられる仕組み
  X-Forwarded-For、リバースプロキシ、IP偽装の3語を、日本語と英語で並べて説明する用語集のページです。送信元のIPアドレスで管理画面を守っているサイトが、なぜすり抜けられるのか、どう設定するかが分かります。
  収録語は X-Forwarded-For、Reverse Proxy、IP Spoofing（3語）
• XSS・SQLインジェクション・CSRFとは　Webサイトを狙う5つの攻撃と対策の違い
  XSS、SQLインジェクション、CSRF、OSコマンドインジェクション、ディレクトリトラバーサルの用語集です。攻撃が起きる場所と対策の違いが分かります。
  収録語は XSS、SQL Injection、CSRF、OS Command Injection、Directory Traversal（5語）
• オープンリダイレクトとは　自社のURLが偽サイトへの入口に使われる仕組みとフィッシングとの関係
  オープンリダイレクトとフィッシングの2語を、日本語と英語で並べて説明する用語集のページです。自社のサイトの転送の機能が、なぜ偽サイトへの誘導に使われるのか、どう直すかが分かります。
  収録語は Open Redirect、Phishing（2語）
• サブドメイン乗っ取りとは　解約したサービスを指すCNAMEが残ると自社の名前で偽サイトを出される
  サブドメイン乗っ取り、CNAME、放置サイトの3語を、日本語と英語で並べて説明する用語集のページです。キャンペーンサイトなどを解約した後、DNSの設定を残すと何が起きるか、どう確かめて消すかが分かります。
  収録語は Subdomain Takeover、CNAME、Abandoned Site（3語）
• サプライチェーン攻撃とは　外部から読み込むスクリプトが書き換えられると自社のサイトでカード情報を盗まれる
  サプライチェーン攻撃、SRI、Webスキミングの3語を、日本語と英語で並べて説明する用語集のページです。外部のサービスから読み込むスクリプトが、どう悪用されるか、実際の事例と防ぎ方が分かります。
  収録語は Supply Chain Attack、SRI、Web Skimming（3語）
• セキュリティヘッダ（Security Headers）とは　HSTS・CSPなど6種の意味、付けないと起きる被害、設定例
  セキュリティヘッダ6種とクリックジャッキングを、日本語と英語で並べて説明する用語集のページです。何の略か、付けないと何が起きるか、nginx と Apache での付け方が分かります。
  収録語は Security Headers、HSTS、CSP、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy、Clickjacking（8語）
• 機微ファイルの露出とは　.env・.git・バックアップの公開を防ぐ設定
  機微ファイルの露出、.env、.git の公開、バックアップファイル、ディレクトリリスティングを説明する用語辞典です。公開によるリスクと、自分のサイトでの確認方法を紹介します。
  収録語は Sensitive File Exposure、.env、Exposed .git、Backup File、Directory Listing（5語）
• 脆弱性診断とペネトレーションテストの違いとは　非破壊の点検と指摘の重大度の読み方
  脆弱性診断、ペネトレーションテスト、非破壊の点検、指摘の重大度の4語を、日本語と英語で並べて説明する用語集のページです。点検を頼む前に、何をどこまで調べるのか、報告書の重大度をどう読むかが分かります。
  収録語は Vulnerability Assessment、Penetration Test、Non-destructive Inspection、Severity、OSINT（5語）

アルファベット順の索引

A

• Abandoned Site（放置サイト）

B

• Backup File（バックアップファイル）

C

• Cipher Suite（暗号スイート）
• Clickjacking（クリックジャッキング）
• CNAME
• CSP
• CSRF（クロスサイトリクエストフォージェリ）
• CVE（共通脆弱性識別子）
• CVSS（共通脆弱性評価システム）
• CWE（共通脆弱性タイプ一覧）

D

• Directory Listing（ディレクトリリスティング）
• Directory Traversal（ディレクトリトラバーサル）
• DKIM
• DMARC

E

• Email Spoofing（なりすましメール）
• .env
• Exposed .git（.git の公開）

H

• HSTS
• HTTPS

I

• IDS
• Intermediate Certificate（中間証明書）
• IP Spoofing（IP偽装）
• IPS

J

• JVN

K

• KEV

N

• Non-destructive Inspection（非破壊の点検）

O

• Open Redirect（オープンリダイレクト）
• OS Command Injection（OSコマンドインジェクション）
• OSINT
• OWASP
• OWASP Top 10

P

• Penetration Test（ペネトレーションテスト）
• Permissions-Policy
• Phishing（フィッシング）
• Plugin Vulnerability（プラグインの脆弱性）

R

• Referrer-Policy
• REST API
• Reverse Proxy（リバースプロキシ）

S

• Security Headers（セキュリティヘッダ）
• Sensitive File Exposure（機微ファイルの露出）
• Server Certificate（サーバー証明書）
• Severity（指摘の重大度）
• SPF
• SQL Injection（SQLインジェクション）
• SRI
• SSL
• Subdomain Takeover（サブドメイン乗っ取り）
• Supply Chain Attack（サプライチェーン攻撃）

T

• Theme Vulnerability（テーマの脆弱性）
• TLS

U

• User Enumeration（ユーザー列挙）

V

• Vulnerability（脆弱性）
• Vulnerability Assessment（脆弱性診断）

W

• WAF
• Web Skimming（Webスキミング）

X

• X-Content-Type-Options
• X-Forwarded-For
• X-Frame-Options
• xmlrpc.php
• XSS（クロスサイトスクリプティング）

Z

• Zero-day（ゼロデイ）

五十音順の索引

読みを付けた語を、読みの順に並べています。英語のまま呼ぶ語は、アルファベット順の索引から探してください。

あ行

• IDS
• IPS
• IP偽装（IP Spoofing）
• 暗号スイート（Cipher Suite）
• Webスキミング（Web Skimming）
• HSTS
• HTTPS
• SRI
• SSL
• SQLインジェクション（SQL Injection）
• SPF
• xmlrpc.php
• X-Forwarded-For
• OSINT
• OWASP
• OWASP Top 10
• OSコマンドインジェクション（OS Command Injection）
• オープンリダイレクト（Open Redirect）

か行

• 機微ファイルの露出（Sensitive File Exposure）
• クリックジャッキング（Clickjacking）
• クロスサイトスクリプティング（XSS）
• クロスサイトリクエストフォージェリ（CSRF）
• KEV

さ行

• サブドメイン乗っ取り（Subdomain Takeover）
• サプライチェーン攻撃（Supply Chain Attack）
• サーバー証明書（Server Certificate）
• 指摘の重大度（Severity）
• CSP
• 共通脆弱性タイプ一覧（CWE）
• CNAME
• 共通脆弱性識別子（CVE）
• 共通脆弱性評価システム（CVSS）
• JVN
• セキュリティヘッダ（Security Headers）
• 脆弱性（Vulnerability）
• 脆弱性診断（Vulnerability Assessment）
• ゼロデイ（Zero-day）

た行

• 中間証明書（Intermediate Certificate）
• TLS
• テーマの脆弱性（Theme Vulnerability）
• ディレクトリトラバーサル（Directory Traversal）
• ディレクトリリスティング（Directory Listing）
• DKIM
• DMARC
• .env
• .git の公開（Exposed .git）

な行

• なりすましメール（Email Spoofing）

は行

• バックアップファイル（Backup File）
• 非破壊の点検（Non-destructive Inspection）
• フィッシング（Phishing）
• プラグインの脆弱性（Plugin Vulnerability）
• ペネトレーションテスト（Penetration Test）
• 放置サイト（Abandoned Site）

や行

• ユーザー列挙（User Enumeration）

ら行

• リバースプロキシ（Reverse Proxy）
• REST API

わ行

• WAF