ホームページ安全設定診断
採点基準と確認方法
外部に公開されている情報から確認できる安全設定の充足度です。侵入テストや脆弱性診断ではなく、安全性を保証するものではありません。
採点基準の版 1.7.0・項目数 25。点数はAIではなく、この表のとおりに計算します。確認できなかった項目は減点せず、計算から外します。
点数の上限がかかる条件
- 暗号化通信（HTTPS）に対応していないため、点数の上限を40点としています
- SSL証明書が期限切れ、またはドメインと一致していないため、点数の上限を30点としています
- 緊急度の高い既知の問題がある部品を検出したため、点数の上限を50点としています
通信の暗号化（配点 24）
HTTPS対応10点・匿名で表示
- 良好有効な証明書でhttps接続できる（10点）
- 要対応https接続できない、または証明書の検証に失敗（0点）
httpからhttpsへの転送4点・匿名で表示
- 良好301/308でhttpsへ転送（4点）
- 一部対応302/307等の一時転送（2点）
- 要対応転送なし（httpのまま表示される）（0点）
- 確認不可http接続自体ができない
SSL証明書の有効期限5点・匿名で表示
- 良好残り30日以上（5点）
- 一部対応残り30日未満だが自動更新型の発行元（Let's Encrypt、ZeroSSL、Google Trust Services等）（3点）
- 一部対応残り14〜29日（3点）
- 要対応残り13日以下（0点）
- 要対応期限切れ（0点）
- 要対応証明書のドメイン名がサイトと一致しない（0点）
- 対象外HTTPS非対応（sec.https で評価済み）
HSTS3点・匿名で表示
- 良好max-age が15552000（180日）以上（3点）
- 一部対応max-age が180日未満（1点）
- 要対応設定なし（0点）
- 対象外HTTPS非対応
ページ内の読み込みの暗号化（Mixed Content）2点・メール確認後
- 良好巡回ページで検出なし（2点）
- 一部対応画像のみ検出（1点）
- 要対応スクリプト・iframe・フォームで検出（0点）
- 確認不可巡回できなかった
- 対象外HTTPS非対応
ブラウザ向けの安全設定（配点 12）
Content-Security-Policy4点・匿名で表示
- 良好CSPヘッダーまたはmetaで設定あり（4点）
- 一部対応Report-Onlyのみ（2点）
- 一部対応設定はあるが、どこからでもスクリプトを読み込める書き方（* と unsafe-inline・unsafe-eval を許可）で、ほぼ制限が効いていない（2点）
- 要対応設定なし（0点）
他サイトへの埋め込み制限3点・匿名で表示
- 良好X-Frame-Options または CSP frame-ancestors あり（3点）
- 要対応どちらもなし（0点）
X-Content-Type-Options3点・匿名で表示
- 良好nosniff あり（3点）
- 要対応なし（0点）
Referrer-Policy1点・匿名で表示
- 良好設定あり（1点）
- 要対応なし（0点）
Permissions-Policy1点・匿名で表示
- 良好設定あり（1点）
- 要対応なし（0点）
情報の秘匿（配点 13）
サーバー・PHPのバージョン非表示3点・管理権限の確認後
- 良好Server・X-Powered-By にバージョン番号なし（3点）
- 要対応バージョン番号を含む（0点）
CMSのバージョン非表示4点・管理権限の確認後
- 良好generator・readme.html・アセットURLからバージョンが特定できない（4点）
- 要対応バージョンが特定できる（0点）
投稿者のログイン名の非表示3点・メール確認後
- 良好標準の公開アドレス・取得したページ（トップ・巡回ページ）のどちらにも、投稿者のログイン名の手がかりなし（3点）
- 一部対応投稿者の番号（?author=N）や表示名から作った名前、またはページの meta の author に英数字の名前だけが見える（1点）
- 要対応投稿者一覧のURL（/author/名前/）・コメントやページの class 等に、英数字のログイン名らしい名前が見える（0点）
- 要対応WordPress の標準の公開アドレス（?author=1 の転送先・ユーザー一覧API・ユーザーのサイトマップ）のいずれかで、ログイン名が分かる（0点）
- 確認不可巡回できなかった
エラー表示・ファイル一覧の非公開3点・メール確認後
- 良好エラー文・ファイル一覧の表示なし（3点）
- 要対応PHPエラー文（Warning/Fatal error/Notice）、またはアップロードフォルダ（/wp-content/uploads/ 等）のファイル一覧が誰でも見られる（0点）
CMS・部品とログインの保護（配点 38）
CMS本体の更新状況7点・管理権限の確認後
- 良好最新の系列（WordPressはx.y単位で最新）（7点）
- 一部対応1つ前の系列（3点）
- 要対応それより古い（0点）
- 確認不可バージョン不明
部品の既知の問題への対応10点・管理権限の確認後
- 良好バージョン特定済みの部品に既知の問題なし（10点）
- 一部対応中程度以下の既知の問題のみ（4点）
- 要対応高（CVSS 7.0〜8.9）の既知の問題あり（0点）
- 要対応緊急（CVSS 9.0以上）の既知の問題あり（0点）
- 確認不可部品のバージョンを1つも特定できない、またはDB照合不可
ログインページの特定されにくさ5点・匿名で表示
- 良好ログインページが標準の場所から移動・遮断されていることを、所有者向け詳細診断で確認した（5点）
- 要対応公開ページの中に、ログインページへのリンク（「ログイン」リンク・メタ情報ウィジェット・コメント欄・ログインフォーム）がある（0点）
- 要対応この仕組みは標準のログインページの場所が一般に知られており、既定の設定のままなら誰でも場所を推測できる（公開ページにリンクは無い）（0点）
- 確認不可ページを取得できなかった
ログイン画面の場所6点・管理権限の確認後
- 良好標準のログイン画面が既定の場所になく、移動・遮断されている（6点）
- 要対応ログイン画面が標準の場所（/wp-login.php）にあり、誰でも到達できる（0点）
- 確認不可ログイン画面の応答を確認できなかった
ログイン画面のロボット対策6点・管理権限の確認後
- 良好ログインフォームにロボット対策（reCAPTCHA・hCaptcha・Turnstile・画像認証等）がある（6点）
- 要対応ログインフォームにロボット対策が見当たらない（0点）
- 確認不可ログイン画面を確認できなかった（移動・遮断など）
管理画面の保護2点・管理権限の確認後
- 良好ログイン保護（試行制限・二段階認証等）の手がかりを確認、または所有者回答で保護ありを確認（2点）
- 一部対応所有者回答で追加保護なし（0点）
- 確認不可手がかり・所有者回答なし（ログイン試行はしないため、無いことは断定しない）
XML-RPCの無効化2点・管理権限の確認後
- 良好/xmlrpc.php が遮断・無効、または所有者回答で無効を確認（2点）
- 一部対応/xmlrpc.php が到達可能、または所有者回答で有効・利用中（0点）
- 確認不可応答・所有者回答なし
フォーム・その他（配点 13）
フォーム送信の暗号化4点・匿名で表示
- 良好すべてのフォームの送信先がhttps（4点）
- 要対応http の送信先あり（0点）
- 対象外フォームが見つからない
問い合わせフォームの迷惑送信対策4点・匿名で表示
- 良好自社サイトに送るフォームすべてに、外から確認できる迷惑送信対策（reCAPTCHA・hCaptcha・Turnstile・隠し入力欄・迷惑送信の判定サービス）あり（4点）
- 一部対応一部のフォームのみ（2点）
- 要対応外から確認できる対策なし（0点）
- 対象外自社サイトに送るフォームが無い（外部のフォームサービスだけ等）
- 確認不可問い合わせページを巡回できなかった
JavaScript部品の更新状況3点・管理権限の確認後
- 良好既知の問題があるバージョンなし（3点）
- 要対応あり（0点）
- 確認不可バージョンを特定できない
CookieのSecure・HttpOnly属性2点・メール確認後
- 良好セッション系Cookieすべてに付与（2点）
- 一部対応一部のみ（1点）
- 要対応付与なし（0点）
- 対象外Cookieの発行なし