自社サイトのセキュリティを、自分で点検する――無料の道具で、まず確かめ⁠る⁠こ⁠と

脆弱性のニュースが続くと、お客さまから「うちのサイトは大丈夫ですか」と聞かれます。正直に言うと、何が動いているか分からないままでは、大丈夫かどうかは答えられま⁠せ⁠ん⁠。

この記事では、専門の診断を頼む前に、担当者が自分で確かめられることを順番に書きます。使う道具はどれも無料ですが、自分が管理するサイトにだけ使ってください。ウェブのセキュリティの基本として書いた4本のうちの1本目で、気づき方、気づいたあとの対処、更新のやり方は、それぞれ別の記事にしま⁠し⁠た⁠。

まず、何が動いているかを書⁠き⁠出⁠す

点検より先にやるのは、書き出しです。ドメインはどこの会社と契約していて、更新日はいつで、どのアカウントで管理しているのか。サーバーはレンタルサーバーなのかクラウドなのか。CMSは何で、版はいくつか。プラグインとテーマは、使っていないものも含めて全部。PHPやNode.jsの版。管理画面やサーバー、FTPのアカウントと、それを誰が持っているか。決済やフォーム、メール配信のようにつないでいる外部のサービス。これを一枚にまとめ⁠ま⁠す⁠。

埋まらない欄があれば、そこが最初の宿題です。とくに管理者の欄が埋まらないサイトには、辞めた人のアカウントが残っていることがよくあり⁠ま⁠す⁠。

書き出した版は、それぞれの公式のサポート期間と比べます。サポートが切れたソフトには、欠陥が見つかっても修正が出ないので、それだけで最優先の問題です。PHPの公式ページでは、2026年11月8日の時点でサポート中なのは8.2から8.5までで、その8.2も2026年12月31日でセキュリティの修正が終わります。8.1以前は一覧から外れていて、すでにサポートが終わっています（PH⁠P⁠）⁠。

ほかのソフトはendoflife.dateでまとめて調べられますが、有志のまとめなので、最後は各ソフトの公式ページで確かめてください。WordPressなら、管理画面の「ダッシュボード」から「更新」を開けば、最新かどうかが分かります。10月末に見つかったWordPress本体の、更新の最中を狙われる欠陥については、別の記事に書きま⁠し⁠た⁠。

外から見える問題を確⁠か⁠め⁠る

証明書と暗号化の設定は、QualysのSSL Labsにドメインを入れると評価してくれます。結果を一覧に載せたくなければ、入力欄の下にある、結果を公開しないチェックを入れておきます。評価がAかA+で、証明書の期限が切れかけておらず、TLS 1.0や1.1のような古い方式が有効になっていなければ、ひとまず十分⁠で⁠す⁠。

ブラウザに送るセキュリティの設定（ヘッダー）は、MozillaのHTTP Observatoryで調べられます。HTTPからHTTPSへの転送や、HSTS、CSPといった設定が対象です。ただ、調べた履歴は誰でも見られますし、古いソフトやSQLインジェクション、CMSのプラグインまでは見ないので、評価が良くても安全という意味にはなりません（Observatory FAQ）。評価が低ければ、直すのはサーバーかCDNの設定です。CSPは設定を誤ると表示が崩れるので、いきなり本番に入れず、制作会社と相談してくだ⁠さ⁠い⁠。

意外に多いのが、制作や移転のときに置いたファイルが、そのまま公開されている状態です。ブラウザで、自分のドメインの後ろに次のパスを付けて開いてみてくだ⁠さ⁠い⁠。

/.git/HEAD
/.env
/wp-config.php.bak
/phpinfo.php
/backup.zip

どれも「見つからない」（404）か「禁止」（403）になるのが正常です。中身が表示されたり、ダウンロードが始まったりしたら、すぐに削除するか、アクセスを止めます。.envや設定ファイルには、データベースのパスワードが書かれていることが多いので、見えていたならパスワードも変えてくだ⁠さ⁠い⁠。

Google⁠にどう見えて⁠い⁠る⁠か

Googleは、危険と判定したサイトに、検索結果やブラウザで警告を出します。自分のサイトが判定を受けていないかは、Googleの透明性レポートのサイトのステータスにURLを入れれば分かります。Search Consoleに登録していれば、「セキュリティの問題」のレポートでも確かめられ、問題がなければ緑のチェックが出ます。警告を外してもらう審査の申請はSearch Consoleからしかできないので（Google）、まだ登録していないなら、これを機に登録しておいてくだ⁠さ⁠い⁠。

あわせて、Googleで「site:自分のドメイン」と検索し、数ページ分、見覚えのないページが混じっていないかを見ます。乗っ取られたサイトには、持ち主には見えず、検索にだけ出るページが作られることがあるからです（web.de⁠v⁠）⁠。

管理者のアカウントを⁠減⁠ら⁠す

道具を使わない点検ですが、効き目はこれがいちばん大きいと考えています。管理画面のユーザー一覧を開いて、知らない人、辞めた人、使っていないアカウントを消し、管理者の権限は本当に必要な人だけに絞ります。残った管理者には全員、二段階認証を設定してもらいます。サーバーやFTPのパスワードを誰が知っているかも確かめて、共有のパスワードなら変えておき⁠ま⁠す⁠。

WordPressなら、専用の道具のWPScanで、本体、プラグイン、テーマの既知の脆弱性まで調べられます。無料の枠は非商用の研究者向けで、1日25回までです（WPScan）。プラグインの自動更新の設定と考え方は、4本目のソフトウェアを最新に保つ記事に書きま⁠し⁠た⁠。

見つかったら、どこから手を付⁠け⁠る⁠か

問題が見つかったら、見えてはいけないファイルを今日のうちに消すのが先です。次に、サポートが切れたソフトの移行の計画を立て、使っていないアカウントとプラグインを消し、最後に証明書とヘッダーの設定を直し⁠ま⁠す⁠。

ただし、ここまでの点検で分かるのは、外から見える設定と既知の脆弱性までです。ログインの作り、会員ごとのデータの分け方、APIの権限の確認のような、そのサイトのために作り込んだ部分の欠陥は見つかりません。2026年の秋に国内の会員システムで漏えいが相次いだとき、JPCERT/CCは手口の一つに、アプリやシステムのAPIの悪用を挙げました（会員システムの記事）。会員の情報や決済を扱うサイトなら、専門の脆弱性診断を検討してくだ⁠さ⁠い⁠。

経営者として先に決めておくことは、ゼロトラストとAI時代のセキュリティ対策の記事にまとめています。自社のサイトの点検や脆弱性診断のご相談は、お問い合わせからど⁠う⁠ぞ⁠。