サイトのセキュリティ設定チェック
サイトのトップページを外から開き、HTTPS、httpからの転送、PHPやサーバソフトのバージョンの公開、 セキュリティヘッダー、WordPressのユーザー名が取得できる状態かを確認します。 項目ごとに「要対処」「注意」「問題なし」「確認できず」で表示します。
これまでに点検したサイト
17件
2026年10月26日から
診断はご自身が管理するサイトに対して実行してください。行うのは公開ページへの通常のアクセスのみで、ログイン、総当たり、脆弱性の実際の悪用は一切行いません。
チェックする項目
- HTTPSで正常に配信されているか
- httpでのアクセスがhttpsへ転送されるか
- PHPやサーバソフトの版数が応答ヘッダに出ていないか
- HSTS、CSP、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy の設定状況
- WordPressの場合: ユーザー名の列挙、XML-RPCの公開、ディレクトリ一覧の表示、debug.logや設定ファイルの控えの露出、readme.htmlの残置
- PHP本体が、2026年10月のPHP2Shell (CVE-2026-109618 / CVE-2026-109619) の影響を受ける版数でないか
項目の読み方
要対処は、放置すると実害につながる状態です。注意は、設定しておくべきものが抜けている状態で、 ただちに侵入されるわけではないものの、攻撃の難易度を下げています。 確認できずは、外部からは判断できなかった項目です。分からないものを危険とは決めつけません。
バージョンを隠すことの意味
多くの本番サーバは、PHPやサーバソフトの版数を応答ヘッダから消しています。これは正しい設定です。 ただし、版数の表示を消しても脆弱性そのものは直りません。隠すことと直すことは別の作業です。 表示を消したうえで、更新も行ってください。