10項目すべて合格なら、サイトは安全と言えますか？

言えません。外から見える設定が整っているという意味で、プログラムの弱点や管理画面のパスワードの強さまでは分かりません。ただ、外から見える設定が崩れていれば、内側の更新や保守も止まっていないかを疑うきっかけになります。最初に見る価値は十分にあります。

自分で確認すると、サイトに負荷をかけたり、法律に触れたりしませんか？

この記事の方法は、ブラウザで普通にページを開くのと同じ範囲の確認です。ログインを試したり、公開されていない場所を探したりする操作は含めていません。他社のサイトに対して攻撃的な調査をするのはやめてください。

会社ホームページの安全設定で、外から確認できる10項目

「うちのホームページは制作会社に任せているから大丈夫」——そう答えた会社でも、外から見ると証明書の期限が迫っていたり、古いソフトウェアの版数がそのまま表示されていたりします。安全設定の多くは、管理画面に入らなくても外から確認できます。そして、攻撃する側が最初に見るのも、まさにこの「外から見える情報」です。

ここでは、専門知識がなくても確認できる10項目を、確認方法と直し方の順に整理します。

外から確認できる10項目

#	項目	何を見るか	崩れていると
1	HTTPS対応	`https://` で開けて、警告が出ないか	「保護されていない通信」と表示される
2	httpからhttpsへの転送	`http://` で開いたとき、自動で `https://` に移るか	古いリンクから来た人が暗号化なしで閲覧する
3	SSL証明書の期限	残り日数と、自動更新かどうか	期限切れで警告画面になり、ほぼ誰も見られなくなる
4	HSTS	「必ず暗号化で開く」指示を出しているか	暗号化なしの通信へ誘導する手口への備えが弱い
5	非暗号化の読み込み	https のページ内で http の画像やスクリプトを読んでいないか	鍵マークが外れる、表示が一部ブロックされる
6	セキュリティヘッダー	CSP、埋め込み制限、nosniff など	不正なスクリプトやなりすまし表示への備えが弱い
7	サーバー・PHPの版数	応答ヘッダーに版数が出ていないか	古い版の弱点を探す手がかりになる
8	CMSの版数	WordPress等の版数が外から特定できないか	同上
9	エラー表示・ファイル一覧	PHPのエラー文やフォルダの一覧が見えないか	内部の構造や、見せる予定のないファイルが見える
10	フォームの送信先	問い合わせフォームの送信先が https か	入力された個人情報が暗号化されずに送られる

このほか、Cookieの属性（Secure・HttpOnly）や古いJavaScript部品も外から確認できます。

自分で確認する方法

ブラウザだけで確認できること（1〜3、5、10）

アドレスバーに http:// から始まる自社のURLを手で入力して開きます。https:// に切り替われば転送は設定されています
アドレスバーの鍵（またはサイト情報）のアイコンから証明書を開き、有効期限と発行元を確認します
ページを右クリックして「ページのソースを表示」し、http:// で始まる src= が無いかを検索します
問い合わせフォームのページで同じくソースを開き、<form の action= が https:// か、同じサイト内のパスになっているかを見ます

応答ヘッダーを見る（4、6、7）

パソコンのターミナル（Windowsは PowerShell でも curl.exe が使えます）で次を実行します。

curl -sI https://www.example.jp/

表示された中に次の行があるかを確認します。

strict-transport-security: max-age=31536000
content-security-policy: ...
x-frame-options: SAMEORIGIN
x-content-type-options: nosniff
referrer-policy: strict-origin-when-cross-origin
permissions-policy: ...

逆に、server: Apache/2.4.xx や x-powered-by: PHP/8.x.x のように版数の数字が出ていたら、隠す設定の対象です。

ページの中身を見る（8、9）

ソースの中に <meta name="generator" content="WordPress 6.x.x"> のような記載があれば、CMSの版数が外から分かる状態です。ページを開いたときに Warning: や Fatal error: で始まる英文が出る場合は、エラー表示が公開されています。

よくある誤解

「鍵マークが付いているから安全」：鍵マークは通信が暗号化されているという意味です。サイトの中身が安全かどうか、運営者が信頼できるかどうかは示しません
「版数を隠すのは気休め」：隠しても弱点そのものは消えません。ただ、版数が見えると、古い版の弱点を狙う自動の攻撃に見つけてもらいやすくなります。更新とあわせて行う、手間の小さい対策です
「小さな会社は狙われない」：攻撃の多くは、会社の規模ではなく、ソフトウェアの版数や設定の穴を機械的に探して行われます。会社名で選んでいるわけではありません

Webサイト診断の診断ではこう判定します

ホームページ安全設定診断は、公開情報だけを使い、5つの区分（通信の暗号化30、ブラウザ向けの安全設定15、情報の秘匿15、CMS・部品の更新25、フォーム・その他15）で採点します。主な基準は次のとおりです。

HTTPS対応（10点）：有効な証明書で https 接続できれば合格。対応していない場合は、総合点の上限を40点にします
httpからの転送（6点）：301/308 の恒久的な転送で満点、302/307 の一時転送は3点
証明書の期限（6点）：残り30日以上で満点。期限切れ、またはドメイン名と一致しない場合は総合点の上限を30点にします
HSTS（4点）：max-age が 15552000秒（180日）以上で満点、それ未満は2点
セキュリティヘッダー：CSP 5点（Report-Onlyのみは2点）、埋め込み制限3点、nosniff 3点、Referrer-Policy 2点、Permissions-Policy 2点
版数の非表示：サーバー・PHP 4点、CMS 4点
投稿者のログイン名（3点・WordPress）：通常のページに書かれた投稿者ページのURL等から、ログイン名が推測できないか。名前を調べるための追加のアクセスはしません
問い合わせフォームの迷惑送信対策（3点）：reCAPTCHA・Turnstile・隠し入力欄など、外から確認できる対策があるか

プラグイン名や個別の版数など、悪用の手がかりになる詳細は、サイトの管理者であることを確認できた方にだけお伝えしています。ログインの試行や攻撃的な検査は行いません。

直し方と、制作会社への依頼文の例

1〜5と10は「安全設定かんたん改善」、6は「セキュリティヘッダー」、7〜9は保守作業の範囲になることが多いです。不合格の項目をまとめて1回で頼むと、確認の手間も費用も抑えられます。

いつもお世話になっております。
当社ホームページの外から見える安全設定を確認したところ、次の点が気になりました。
対応の可否と、概算の費用・日程を教えてください。

・httpで開いたときにhttpsへ301で転送されていない
・SSL証明書の自動更新の有無と、次回の期限
・セキュリティヘッダー（HSTS、X-Content-Type-Options、X-Frame-Options、
  Referrer-Policy、Permissions-Policy、CSP）の追加
・応答ヘッダーとページのソースに出ているサーバー／CMSの版数の非表示

作業後に、同じ項目を再確認させていただきます。

依頼する前に、診断結果の画面や印刷したレポートを添えると、相手も何を直せばよいかすぐに分かります。

次に読む

6番を詳しく：セキュリティヘッダーとは何か。中小企業サイト向けの優先順位
3番を詳しく：SSL証明書の期限と自動更新を確認する方法
WordPressで作ったサイトなら：WordPressの保守担当がいないときに確認すること

10項目を1つずつ確認する時間がなければ、ホームページ安全設定診断でURLを入れるだけで同じ観点をまとめて確認できます。直す作業を任せたい場合は、安全設定かんたん改善やブラウザ向け安全設定をご覧ください。