脆弱性診断「Webサイトセキュリティ診断」｜修正方法まで報告
Webサイトセキュリティ診断は、Webサイトの弱点を外から点検する脆弱性診断です。
見つかった弱点は、報告書でお知らせします。報告書には、指摘ごとに修正方法と設定の例を付けます。
こんな方におすすめです
- サイトを公開してから、セキュリティの設定を見直していない
- WordPressのプラグインを、誰も更新していない
- 制作会社との保守契約が切れて、今の状態が分からない
- 取引先から、自社サイトのセキュリティ対策を聞かれた
- 本格的な脆弱性診断の見積もりが、予算に合わなかった
点検する項目
許諾をいただいたドメインの公開ページへアクセスし、外から誰でも見える状態を点検します。点検する項目は、次のとおりです。
- 通信の暗号化と証明書の設定（TLS）
- セキュリティに関わる応答ヘッダとCookieの設定
- 公開してはいけないファイルの露出（.git、.env、バックアップ、SQLダンプなど）
- WordPressの本体、テーマ、プラグインの版と、既知の脆弱性
- WordPressのユーザー名の漏れと、XML-RPCの状態
- メールのなりすまし対策（SPF、DMARC、DKIM）
- 不正アクセスを防ぐ仕組み（WAF）が働いているか
- ページが読み込むスクリプトの改ざんの兆候
- サブドメインの洗い出しと、使われずに残っていて乗っ取られるおそれのあるもの（スタンダード以上）
- 外部サイトへの不正な転送（プレミアム）
- スクリプトの現状の記録（プレミアム。次回の健診で、書き換えの有無を比べるため）
WordPressの脆弱性は、毎朝更新している脆弱性データベースと照合します。
2回目以降の点検は「健診」と呼びます。健診では、前回と同じ項目を点検し、結果を前回と比べて報告します。
報告書の内容
結果は、「確認済みの問題」と「疑い（要調査）」の2つに分けて報告します。確認済みの問題には、一般的な修正方法を付けます。nginx、Apache、WordPressで使える設定の例も付けます。
弊社の不備で点検できなかった項目が出た場合は、原因を直して点検をやり直します。そのうえで、報告書をお送りします。
外から確かめられない項目は、貴社の側で確かめていただく項目として報告書に載せます。これらの項目を、安全と判定することはありません。
行わない作業
本サービスは、侵入テスト（ペネトレーションテスト）ではありません。次の作業は行いません。
- サイトへの侵入、データの改ざんや削除
- パスワードの総当たり
- 大量アクセスによる負荷試験
- ログイン後の画面や管理画面の点検
- フォームへの入力と送信（テスト決済を含む）
- サーバ内部、データベース、クラウド権限、バックアップの点検
点検の範囲と行わない作業の詳細は、Webサイトセキュリティ診断の免責事項をご覧ください。
サイトに負荷をかけない方法で点検します
- アクセスの間隔は、3秒空けます。
- 同時に複数のアクセスはしません。
- 1回の点検で送るアクセスは、最大400件です。
- 診断用であることを示す名前を付けてアクセスします。サーバのログで、弊社のアクセスを見分けられます。
ご依頼から報告までの流れ
- 点検してよいドメインを、書面でご許諾ください。
- 弊社が点検を行います。
- 報告書をPDFでお送りします。
- 報告書へのご質問に、メッセージでお答えします。
担当者について
担当者は、会社役員としてセキュリティ対応を担当してきました。独立後は、英語圏を中心にセキュリティ対応を続けています。セキュリティチェックシートの対応は、3年で国内外700件を超えます。情報セキュリティマネジメント試験に合格しています。
料金プラン
| プラン | 料金 | 納期 | 内容 |
|---|---|---|---|
| ベーシック | 15,000円 | 5日 | はじめての方のお試し用と、2回目以降の健診用のプランです。Webサイト1つを外から点検し、修正方法つきで報告します。健診では、前回と比べた比較報告書もお付けします。サブドメインの点検は含みません |
| スタンダード | 33,000円 | 10日 | ベーシックの内容に加え、サブドメインを洗い出し、使われずに残っているものを見つけます。ご指定のページ5件が読み込むスクリプトも点検します |
| プレミアム | 38,000円 | 14日 | スタンダードの内容に加え、サイトが読み込むスクリプトの現状を記録します。次回の健診で、書き換えの有無を比べられます。外部サイトへの不正な転送も点検します |
オプション
| オプション | 料金 | 追加の納期 | 内容 |
|---|---|---|---|
| SEO監査 | 30,000円 | 5日 | SEO観点での問題点を洗い出して報告します。スタンダードとプレミアムで追加できます |
| 追加ドメインの点検（ベーシック） | 12,000円 | 5日 | 2つ目以降のドメインを、ベーシックと同じ項目で点検します。価格はベーシックの20％引きです |
| 追加ドメインの点検（スタンダード） | 26,400円 | 10日 | 2つ目以降のドメインを、スタンダードと同じ項目で点検します。価格はスタンダードの20％引きです |
| 追加ドメインの点検（プレミアム） | 30,400円 | 14日 | 2つ目以降のドメインを、プレミアムと同じ項目で点検します。価格はプレミアムの20％引きです |
ご相談の際にお知らせください
内容を確認し、点検の可否と進め方をご案内します。
- 点検するサイトのURL
- サブドメインも点検の対象に含めてよいか（スタンダード以上）
- サイトの所有者か運営責任者の方からのご依頼か、制作会社などの代理でのご依頼か
- WordPressを使っているかどうか
- 特に点検してほしいページのURL（スタンダード以上、5件まで）
- ご利用中のレンタルサーバ事業者
- サーバやWAFを別の会社が運用している場合は、その会社名
- 現在、改ざんや不審な表示が起きているかどうか
点検の前に、サーバの規約と運用会社への連絡をご確認ください。
- レンタルサーバをお使いの場合は、外部からの点検が規約で許されているかをご確認ください。
- サーバやWAFを別の会社が運用している場合は、点検の日時を事前にその会社へお伝えください。
- 点検のアクセスで、WAFや監視の警告が出ることがあります。
必ずお読みください
- 点検できるのは、サイトの正当な権限をお持ちの方からのご依頼だけです。
- 権限を確認できないサイトは点検しません。不正アクセス禁止法に触れるおそれがあるためです。
- 指摘が0件でも、サイトが安全とは限りません。
- 結果は、点検した日時の状態です。
- 設定の例は、本番のサーバに入れる前に、検証環境でお試しください。
- スクリプトの現状の記録は、点検した時点の状態を基準にします。その時点ですでに書き換えられていた場合は、見分けられません。
- 現在、改ざんなどの被害が起きている場合は、ご依頼の前にご相談ください。
よくある質問
見た目に問題のないサイトでも、点検する意味はありますか？
あります。見た目に問題がなくても、点検すると多くの問題が見つかることがあります。実際に、パスワードや接続情報を書いた設定ファイル（.envなど）を、外から開ける状態だったサイトもありました。
サーバーに古いファイルを残したままです。問題はありますか？
あります。昔のバックアップや、データベースの書き出しが、公開している場所に残っていることがあります。その中に、重要な情報が書かれていた例もあります。
HTTPSにしていれば、通信は安全ですか？
安全とは限りません。ドメインの設定の誤りで、HTTPのページも開ける状態のまま残っていることがあります。HTTPSのページが、画像やスクリプトをHTTPで読み込んでいる場合もあります（混在コンテンツ）。暗号化されない読み込みは、途中で差し替えられるおそれがあります。
メールのなりすましも分かりますか？
分かります。SPF、DMARC、DKIMの設定を点検します。これらの設定がないと、貴社のドメインを名乗ったメールを、第三者が送れてしまいます。
セキュリティの設定は、広告の審査にも関係しますか？
関係することがあります。実際に、セキュリティ設定の誤りが原因で、広告の審査が通らなかった例があります。報告書では、設定の誤りと修正方法を、可能な範囲でお伝えします。
WordPressのサイトでは、設定ミスがあると何が見えてしまうのですか？
管理画面にログインするためのID（ユーザー名）が、外から見えることがあります。WordPressは、設定によっては決まったURLを開くだけでIDが分かります。IDが分かると、残る守りはパスワードだけになります。
パスワードの強さも調べてもらえますか？
この診断では調べません。パスワードを試す操作（総当たり）は行わないためです。ただし、ログインIDが外から見える状態は見つけます。IDが見えていて、パスワードも簡単な場合は、まだ乗っ取られていないだけの状態です。
サイトの一部が動いていないことも、セキュリティに関係しますか？
関係することがあります。たとえば、ページが読み込むスクリプトの読み込み元が、すでになくなっている場合です。その読み込み元を第三者が手に入れると、ページに不正なスクリプトを入れられます。本サービスでは、ページが読み込むスクリプトを一覧にして点検します。
修正したあと、もう一度点検してもらえますか？
できます。2回目以降の点検は「健診」と呼んでいます。健診は、ベーシックのプランで改めてご依頼ください。健診では、初回と同じ項目を点検し直し、前回の結果と比べた比較報告書もお付けします。比較報告書では、直った問題、残っている問題、新しく見つかった問題が分かります。プレミアムでスクリプトの現状を記録した場合は、書き換えの有無も比べます。サブドメインはベーシックに含まないため、比べる対象から外れます。
見つかった問題を直してもらえますか？
修正作業は、この診断には含みません。別にサイト保守のサービスがあり、月額3万円から8万円の範囲になります。別途ご相談ください。
下記フォームより直接ご相談・お問い合わせいただけます。
内容を確認のうえ、担当より折り返しご連絡いたします。