よくある質問

サービスと守備範囲何ができて、何ができないか

サイトドックは、どんなサービスですか？

サイトドックは、WAF・CDN配信・DDoS吸収・自動修復（仮想パッチ）・改ざん検知・SSL証明書の自動更新・セキュリティヘッダの自動付与・月次の定期診断・証跡レポートまで、9つの守りを統合したWebサイト・Webアプリ向けの統合型セキュリティサービスです。見つけて終わりではなく、見つかった弱点をその場で治すことを主軸にしています。

「自動修復（仮想パッチ）」では何が治せて、何が治せませんか？

サイトの通り道（エッジ）で対処できる弱点——WAFでの攻撃遮断、仮想パッチ、セキュリティヘッダの自動付与、SSL証明書の自動更新など——はその場で治せます。一方、アプリの根本改修・サーバー内部の清掃・CMS本体やプラグインの更新作業そのものはエッジでは治せません。治せない項目は診断結果で正直に明示し、専門家が実装まで伴走します。

WAFとサイトドックの違いは？

WAFは攻撃を通信の途中で検知・遮断する仕組みで、サイトドックが提供する9つの守りの1つです。サイトドックは、WAFに加えて月次の定期診断・自動修復（仮想パッチ）・毎月の証跡レポートまでをひとつなぎにした統合型サービスです。詳しくはクラウド型WAFとの違いをご覧ください。

脆弱性診断サービスとの違いは？

一般的な脆弱性診断は単発の検査で、指摘までがサービス範囲です。修復は別会社・別料金になることが多く、次の検査までの間は弱点が残り続けます。サイトドックは、毎月の定期診断で継続的に弱点を見つけ、エッジで治せるものはその場で治し、証跡レポートまでを月額に含めています。詳しくは脆弱性診断サービスとの違いをご覧ください。

Cloudflareを直接契約するのと、何が違いますか？

土台は同じCloudflareでも、守れるかどうかは設定と運用で決まります。サイトドックは、月次の定期診断で弱点を見つけ、仮想パッチやセキュリティ設定を継続的にチューニングし、証跡レポートまでお届けする「運用込み」のサービスです。Cloudflareの契約・設定・保守をお客様側で行う必要はありません。

DDoS攻撃や海外からの攻撃も防げますか？

DDoS攻撃は世界規模のエッジネットワークで吸収し、攻撃の種類・規模に応じて自動で緩和します。海外の特定地域からのアクセス制限にも対応できます。ただし、あらゆる攻撃の遮断を保証するものではなく、検知した弱点への対処と多層の守りで被害の可能性を下げていく考え方です。

月次の定期診断では、どんな診断ツールが使われていますか？

ポートスキャンのnmap、既知の脆弱性検査のnuclei、Webアプリケーション診断のOWASP ZAP、Webサーバー検査のNiktoに加え、WordPressと判定されたサイトのみ専用の脆弱性データベースとの照合を行います。いずれも世界中で実績のある診断エンジンです。詳しくは技術解説「定期診断の裏側」をご覧ください。

OSSの診断ツールなら、自社でも回せるのでは？

ツールの実行自体は可能です。サイトドックは前回との差分で新規の指摘だけに絞り、誤検知の除外・自動修復（仮想パッチ）への直結・夜間の実施と同意の管理・証跡化までを、毎月の運用として担います。回し続ける工数込みの月額です。

WordPress以外のCMSや、独自開発のサイトでも使えますか？

使えます。守る場所は「サーバーの中」ではなく「通り道」（エッジ）のため、CMS・フレームワーク・言語を問いません。EC-CUBE・静的HTML・独自開発のWebアプリ・APIサーバも対象です。

会員情報を扱う自社開発のWebサイトの情報漏洩対策にも使えますか？

使えます。公表された情報漏洩事案の中心は、既知の脆弱性・アカウント／認証の不備・サイト固有のAPIや設定の欠陥という外部からの攻撃で、サイトドックはこれらを月次の能動診断で見つけ、エッジで治せるものは自動修復（仮想パッチ）でふさぎます。会員機能・管理画面・APIを持つ構成には、ログイン後の画面とAPIの診断・API保護・全ポートの外部非公開を加えたプロが適します。誤送信・内部不正・委託先の事故など、Webの通り道を経由しない漏えいは対象外です。

『EC加盟店 導入ガイド』やIPA 20ヶ条への準拠を保証してくれますか？

準拠の判断・申告はお客様が行い、当社は準拠・合格を保証しません（PCI DSSのASVでもありません）。毎月の2種類のレポート（診断レポート・証跡レポート）は「診断の実施」「対策」の証跡としてお使いいただけます。項目ごとの対応範囲は、EC構築・運用の方へのページとWebアプリ構築事業者の方へのページの対応マップをご覧ください。

導入と運用入れるときと、動かし続けるとき

サイトの改修は必要ですか？

不要です。ドメイン設定（DNS）をエッジへ向けるだけで、約15分で開始できます。サイトのプログラムは変更しません。

導入に必要な作業と、かかる期間は？

ドメイン設定（DNS）の切り替えのみです。切り替え作業の代行・支援も月額に含まれるため、DNSの操作に不慣れでも問題ありません。切り替え自体は約15分で完了し、DNSの反映時間を含めても多くの場合は当日〜数日で守りが有効になります。サーバーやサイトのプログラムには手を入れません。

SSL証明書はどうなりますか？

エッジ側でSSL証明書を自動発行・自動更新するため、更新切れの心配や手動更新の作業がなくなります。現在お使いの証明書からの移行方法もご案内します。

定期診断で自分のサイトに負荷はかかりませんか？

月次の定期診断は、所有者確認のうえ実施する能動診断です。ポートスキャンや脆弱性検査のため対象サイトへ実際にアクセスするため、一定の負荷がかかります。ただしサービス停止を狙うような検査（DoS・破壊的テスト）は行わず、通常運用に支障が出にくいよう配慮します。URLのパラメータ等に検査用の文字列を送る検査は、ご同意いただいたサイトに限り、原則として夜間に実施します。

表示が遅くなりませんか？

エッジでキャッシュ・最適化するため、多くの場合むしろ高速化します。配信は世界規模の基盤を経由します。

いま使っているWAFやCDNと併用できますか？

構成により、併用も移行も可能です。現状をうかがったうえで、最適な入れ方をご提案します。

誤検知（正常なアクセスの遮断）はありますか？

WAFや仮想パッチの性質上、誤検知をゼロにすることはできません。そのため、復旧の手順を用意しています。誤検知の疑いを検知した場合は管理者へ即時通知し、確認のうえ速やかに切り戻します。お客様からのご連絡は電話（平日9:00–18:00）で承り、その場で切り戻します。いずれの場合も翌営業日に担当者がルールを手動で修正し、検証のうえ再適用します。

情報システムの担当者が多忙でも、運用を任せられますか？

はい。自治体の情報セキュリティクラウドを10年以上運用してきた専門チームにお任せください。設定・チューニング・レポート作成は当社が行います。

導入後、社内で発生する作業はありますか？

ほとんどありません。設定・チューニング・レポート作成は当社が行い、お客様は毎月のレポートをご確認いただくだけです。誤検知の疑いがあれば即時にご連絡のうえ切り戻し、翌営業日に修正して再適用します。

アクセスログや診断結果など、お客様の情報はどう扱われますか？

接続元IPアドレス等を含む通信の個別記録は、攻撃の調査と証跡レポートの作成のため所定の期間（既定400日）保持したのち削除します。再委託先と送付するデータの範囲は、サービス利用約款と契約時の書面で明示します。

制作担当者が辞めてログインできない古いサイトでも対策できますか？

はい、対策できます。サイトドックは、DNS（ドメインの向き先）を切り替えてサイトの外側で防御と修復を適用する方式のため、サイトのCMSやサーバーのログイン情報は不要です。ただし、DNSの管理権限（ドメインの管理画面にログインできること）は必要です。ドメインの契約先が分からない場合も、特定のお手伝いからご相談いただけます。

料金・契約とご利用対象費用の範囲と、やめるときのこと

プロは、どんなサイト向けですか？

会員機能・管理画面・APIを持つWebアプリケーションや、APIサーバを運用している方向けのプランです。公開ページの守りに加えて、ログイン後の画面とフォーム入力の診断、API仕様（スキーマ）に合わないリクエストの遮断、サーバに常駐するエージェントによるリアルタイム改ざん検知、サーバの全ポートの外部非公開までを含みます。コーポレートサイトやCMSサイトはスタンダードで十分な場合が多く、構成をうかがったうえでご提案します。詳しくはプロプラン（Webアプリ・APIサーバ向け）のページをご覧ください。

月額料金に含まれるものは？

9つの守り（CDN配信・DDoS吸収・WAF・自動修復（仮想パッチ）・改ざん検知・SSL証明書の自動更新・セキュリティヘッダの自動付与・月次の定期診断・証跡レポート）のすべてと、導入時のDNS切り替え作業の代行・支援、オリジンへの直接アクセス対策（秘密ヘッダ方式）の設定代行・支援が含まれます。初期費用はありません。詳しくは本ページの料金プランをご覧ください。

月額料金は、高くありませんか？

単発の脆弱性診断は、1回で数十万円規模が一般的です。スタンダードは毎月の定期診断に加え、WAF・DDoS吸収・CDN・改ざん検知・証跡レポートまで含めて月額 50,000円（税抜）です。漏えい時の調査・補償・サイト停止の負担と比べてご判断ください。

複数サイトやグループ会社分も、まとめて導入できますか？

できます。1サイト単位の定額（月額表示）で、1サイトからでも複数サイトでもご利用いただけます。複数サイト・大規模構成・診断頻度の引き上げなどの個別要件は、エンタープライズ（応相談）でお見積りします。

解約したい場合はどうなりますか？

最低利用期間は1年で、料金は1年分を一括でお支払いいただきます（途中で解約された場合の返金はありません）。解約時はDNSを導入前の設定に戻すだけです。サイトのプログラムは一切改修していないため、解約後も元の構成のまま運用を続けられます。

中小企業でもセキュリティ対策は必要ですか？

必要です。攻撃の多くは企業規模を選ばない自動化された無差別スキャンで、対策が手つかずのままのサイトほど狙われやすい傾向があります。専任の担当者を置きにくい組織ほど、運用込みで任せられる形が向いています。

自治体や公的機関でも利用できますか？

はい、ご利用いただけます。開発・運用チームは兵庫県41市町の自治体情報セキュリティクラウドを10年以上運用しており、公的機関のご相談にも対応しています。主なご提供先はEC事業者・中小企業ですが、組織の種別は問いません。