Webサイト診断とは？無料ツール6選とプロの脆弱性診断との使い分けを解説

なぜ今Webサイト診断が必要なのか｜セキュリティ強化の3つの目的

Webサイト診断とは、Webサイトに潜むセキュリティ上の弱点（脆弱性）や設定の不備、改ざんの有無などを調べ、攻撃を受ける前にリスクを把握するための取り組みです。

サイバー攻撃は、特定の大企業だけを狙うものではありません。攻撃手法の自動化やAIの悪用によって、規模や業種を問わず、脆弱性のあるサイトが無差別に狙われるケースも多くあります。Webサイト診断には、主に次の3つの目的があります。

1. 事業継続性の確保

ランサムウェアやDDoS攻撃によってサイトやシステムが停止すると、売上の機会を失うだけでなく、復旧にも時間と費用がかかります。事前に脆弱性を見つけて対策しておくことで、こうした事業停止のリスクを減らせます。

2. 法的責任とブランドへの信頼の維持

個人データの漏えいが発生し、個人の権利利益を害するおそれが大きい場合は、個人情報保護法にもとづき、個人情報保護委員会への報告と本人への通知が義務づけられています。不正アクセスなど、不正の目的で行われたおそれがある漏えいも報告の対象です（個人情報保護委員会「漏えい等報告・本人への通知の義務化について」）。対応の負担に加え、顧客からの信頼を失うことで、ブランドへの影響が長く続く場合もあります。

3. 加害者にならないこと

自社のサイトが改ざんされると、訪問した顧客や取引先にマルウェアを感染させたり、フィッシング詐欺の踏み台にされたりする可能性があります。自社のセキュリティを保つことは、取引先や顧客に対する責任でもあります。

サイバー攻撃の最新の手口や、Webサイト以外も含めた企業全体のセキュリティ対策は、以下の記事で解説しています。

関連記事：企業のサイバー攻撃対策完全ガイド！巧妙化する手口と今すぐ実施すべき9つの重要施策

Webサイト診断でチェックすべき4つの項目

Webサイト診断を効果的に進めるには、何をどこまで確認するかを押さえておくことが大切です。ここでは、最低限チェックしておきたい4つの項目を紹介します。

1. 通信の安全性（SSL/TLS化）

URLが「https://」で始まり、サイト全体の通信が暗号化されているかを確認します。暗号化されていないページは、ブラウザで「保護されていない通信」と表示され、訪問者に不安を与えます。また、GoogleはHTTPSを検索順位の評価要素の一つとしています。サーバー証明書の有効期限切れや、古い暗号化方式が有効になっていないかもあわせて確認しましょう。

2. ソフトウェアの脆弱性（CMS・プラグイン）

WordPressなどのCMS、プラグイン、サーバーのOSやミドルウェアが古いバージョンのままだと、既知の脆弱性が放置された状態になります。こうした脆弱性は自動化されたツールで無差別に狙われやすいため、導入しているソフトウェアのバージョンを把握し、定期的に更新することが基本です。

3. 改ざん・マルウェア・フィッシングの有無

気づかないうちにサイトが改ざんされ、不正なスクリプトが埋め込まれているケースもあります。また、自社サイトを模倣した偽サイトがフィッシング詐欺に使われることもあります。後ほど紹介するGoogle Search Consoleなどのツールで定期的に確認することで、早期発見につながります。

4. サーバー・ドメイン設定の不備

ディレクトリリスティング（フォルダ内のファイル一覧が表示される状態）が有効になっていないか、不要なポートが開いていないか、クラウドサービスの権限設定が緩すぎないかなど、設定の不備が侵入経路になることがあります。

特に注意したいのが、テスト用や過去のキャンペーン用に作られ、そのまま放置されているページやサイトです。本番環境と同じサーバーに残っていると、そこを足がかりにサーバー全体へ侵入される可能性があります。

【無料】サイトの安全性を確認できるWebサイト診断ツール6選

Webサイトのセキュリティ状況を手軽に確認できる無料ツールは複数あります。ツールごとに確認できる観点が異なるため、目的に合わせて組み合わせて使うのがおすすめです。

1. gred（グレッド）

セキュアブレインが提供する、URLを入力するだけでそのサイトが安全（green）か危険（red）かを判定する無料のWebチェックサービスです。結果がわかりやすく表示されるため、専門知識がなくても判断しやすいのが特長です。自社サイトのチェックだけでなく、メールに記載された不審なURLを開く前の確認にも使えます。

公式サイト：gred（グレッド）

2. aguse.jp（アグスジェイピー）

サイトの背景情報を多角的に調べられるツールです。サーバーの所在地、ドメインの登録情報、IPアドレスなどを一度に確認できます。メールヘッダーを貼り付けて配送経路を解析する機能もあり、不審なメールの送信元を調べる際にも役立ちます。

公式サイト：aguse.jp

3. Google Search Console（セキュリティと手動による対策）

Googleが検知したハッキング被害やマルウェア感染などのセキュリティ上の問題を、サイトの所有者として確認できるツールです。問題が検出された場合は通知が届き、修正したあとにGoogleへ審査をリクエストできます。検索結果への影響も確認できるため、SEOの観点からも登録しておきたいツールです。

公式ヘルプ：セキュリティの問題レポート（Search Console ヘルプ）

4. HTTP Observatory（旧Mozilla Observatory）

Mozillaが提供する、HTTPセキュリティヘッダーの設定状況をA+〜Fのランクで評価するツールです。クリックジャッキングやクロスサイトスクリプティングの被害を軽減するヘッダーが適切に設定されているかなど、技術的な設定面を確認できます。改善すべき項目も表示されるため、開発・運用担当者が設定を見直す際に役立ちます。

なお、以前の「Mozilla Observatory」は2024年にMDN Web Docs上の「HTTP Observatory」へ移行しました。旧版にあったTLS（暗号化通信）の評価機能は提供されていないため、サーバー証明書や暗号化方式の確認には、別の方法で確認する必要があります。

公式サイト：HTTP Observatory（MDN Web Docs）

5. Norton Safe Web

セキュリティ大手ノートンのデータベースにもとづき、サイトの安全性を評価するサービスです。マルウェアやフィッシング詐欺などの脅威の有無から総合的に判定されます。自社サイトが危険なサイトとして登録されていないかを確認する用途に向いています。

公式サイト：Norton Safe Web

6. ZAP（旧OWASP ZAP）

より専門的な脆弱性のチェックに使える、無料・オープンソースの脆弱性診断ツールです。以前はOWASPのプロジェクトとして知られていましたが、現在はCheckmarxの支援のもと「ZAP」として開発・提供されています。パソコンへのインストールが必要で、操作にはある程度の技術知識が求められます。自動スキャンによって、SQLインジェクションやクロスサイトスクリプティングなどの一般的な脆弱性を検出できます。

ほかの5つのツールと違い、実際に攻撃に近い通信を送るため、使い方には特に注意が必要です（次の「無料ツールを使うときの注意点」で解説します）。

公式サイト：ZAP（Zed Attack Proxy）

無料ツールを使うときの注意点

無料ツールは手軽に使える反面、使い方によっては情報が外部に伝わったり、自社サイトに影響が出たりする場合があります。ツールの種類ごとに、次の点に注意しましょう。

URLを入力するだけのツール（gred、aguse.jp、Norton Safe Web、HTTP Observatory）

外部から見える情報をもとに判定するため、自社サイトの動作に影響が出る心配はほとんどありません。ただし、入力した情報は外部のサービスに送信されます。次のような情報は入力しないようにしましょう。

入力した情報の取り扱いは、各ツールの利用規約やよくある質問で事前に確認しておくと安心です。

Google Search Console

Googleの公式ツールで、利用にはサイトの所有者確認が必要なため、リスクは低いツールです。退職者や契約が終わった外注先のアカウントに権限が残ったままにならないよう、ユーザーの管理を定期的に見直しましょう。

ZAP

ZAPは攻撃に近い通信を送るため、ほかのツールより注意が必要です。

これらのツールは、現状を把握するための入口として役立ちます。ただし、次の章で解説するように、無料ツールで「問題なし」と表示されても、すべての脆弱性がないとは限りません。

自動ツールとプロによる「脆弱性診断」の違いと使い分けの基準

無料の自動ツールは手軽に使える一方で、確認できる範囲には限界があります。プロによる脆弱性診断との違いを理解し、目的に応じて使い分けることが大切です。

自動ツールの特徴と限界

自動ツールは、あらかじめ決められたチェック項目に沿って機械的にスキャンするため、短時間・低コストで現状を確認できるのが最大のメリットです。

一方で、ツールは送信したリクエストに対する応答をもとに脆弱性の有無を判定するため、画面遷移や操作の順番によって初めて成立する問題は見落とされる場合があります。また、Webアプリケーションごとに異なる権限設定や業務ロジックの不備は、ツールだけでは見つけにくい代表例です。

プロによる脆弱性診断の価値

プロによる脆弱性診断では、自動ツールによるスキャンに加えて、診断員がアプリケーションの仕様を理解したうえで、攻撃者の視点から手動で検証します。ツールの検出結果から誤検知を取り除くだけでなく、ツールでは見つけにくい脆弱性まで確認できるのが特長です。

また、診断結果の活用しやすさも大きな違いです。SynXの脆弱性診断では、CVSS（共通脆弱性評価システム）にもとづくリスク評価に加え、再現手順と対策方法を報告書に記載しています。どの脆弱性から対応すべきかの優先順位がわかり、社内の開発担当者が修正を進めやすくなります。

監修者の一言

石田篤史取締役COO 兼 セキュリティグループ長

無料ツールで「安全」と判定されたサイトでも、手動で確認すると、会員の権限で管理者向けの機能を操作できてしまうといった問題が見つかるケースもあります。

無料ツールの多くは、外部から見える情報や既知のパターンをもとに判定するため、ログイン後の画面や、そのサイト独自の権限の仕組みまでは確認できない場合があります。

無料ツールの結果は現状把握の入口として活用し、個人情報や決済を扱う機能は、プロによる脆弱性診断で確認しておくことが大切です。

使い分けの基準

日常的なセルフチェックは無料ツールで定期的に行い、次のようなタイミングではプロによる脆弱性診断を検討しましょう。

なお、脆弱性診断よりさらに踏み込み、攻撃者の視点で実際に侵入を試みる「ペネトレーションテスト」という手法もあります。違いは以下の記事で解説しています。

関連記事：ペネトレーションテストと脆弱性診断の違いとは？

診断結果を成果につなげる！セキュリティ改善の3つのステップ

診断で見つかった脆弱性や課題は、対応の順番を決めて改善していくことが大切です。限られたリソースで効果を出すために、次の3つのステップで進めましょう。

ステップ1：緊急度の高い脆弱性を修正する

診断で指摘された脆弱性のうち、リスク評価が高く、個人情報や決済情報に関わるものを最優先で対応します。古いプラグインの更新、管理画面のパスワード強化、不要なファイルやページの削除など、すぐに実施できる対策から着手しましょう。

SynXの脆弱性診断では、緊急度の高い脆弱性が見つかった場合、発見から翌営業日を目安に速報としてお知らせします。報告書は診断終了から3営業日を目安に提出し、修正後には対策が適切かを確かめる修正確認も行います。

ステップ2：インフラ・設定面の土台を固める

緊急の対応が落ち着いたら、根本的な防御体制を整えます。サーバー証明書の管理、WAF（Web Application Firewall）の導入検討、クラウドサービスの権限設定の見直しなどが対象です。すぐに効果が見えにくい対策ですが、サイト全体のセキュリティレベルを底上げする土台になります。

ステップ3：継続的に確認する体制をつくる

セキュリティ対策は、一度の診断で終わるものではありません。新しい脆弱性は日々見つかり、サイトの改修によって新たな問題が生まれることもあります。たとえば、月に1回は無料ツールでセルフチェックを行い、年に1回はプロによる定期診断、新機能のリリース前には事前の診断を行う、といったルールを決めておくと、安全な状態を保ちやすくなります。

運用面で確認すべきポイントは、IPA（情報処理推進機構）の「安全なウェブサイトの運用管理に向けての20ヶ条」も参考になります。

Webサイト診断に関するよくある質問

まとめ｜無料ツールとプロの診断を組み合わせて、優先順位をつけた対策を

Webサイト診断は、事業継続、法的責任とブランドへの信頼の維持、そして加害者にならないための第一歩です。通信の安全性、ソフトウェアの脆弱性、改ざんやマルウェアの有無、サーバー設定の不備の4つを押さえ、まずは無料ツールで現状を確認してみましょう。

ただし、無料ツールで確認できる範囲には限界があります。個人情報や決済を扱う機能、リリース前や大規模改修後のサイトは、プロによる脆弱性診断で確認し、診断結果をもとに優先順位をつけて改善を進めることが大切です。

自社サイトにどこまでの診断が必要かわからない場合は、SynXまでご相談ください。