サイトドックの精密健診は、複数の実績ある検査エンジンを組み合わせた能動診断です。このページでは、「何を使って」「どこまでやって」「どこからやらないのか」を、裏側まで正直に解説します。
出典・運営：本ページは、サイトドック（SiteDock）の公式技術解説です。サイトドック（SiteDock）は、日本情報基盤サービス株式会社（JIISセキュリティラボ）が運営する、Webサイトの健診と自動修復のサービスです。
いちばんの違いは、対象サイトへ「実際にアクセスするかどうか」です。
DNSや証明書、応答ヘッダなど、外から見える公開情報のみを確認します。サイトに負荷はかからず、登録も不要です。URLを入れるだけで、その場で結果が出ます。
所有者確認のうえ実施する能動診断です。対象サイトへ実際にアクセスして検査するため、一定の負荷がかかります。そのぶん、公開情報だけでは分からない弱点まで踏み込んで確認できます。
能動診断といっても、非破壊寄りの設定で実施し、攻撃的な書き込みは行いません。それでも一定のアクセスは発生するため、負荷がかかること自体は正直にお伝えしたうえで実施しています。
独自ツール1本に頼るのではなく、世界中で実績のあるオープンソースの検査エンジンを役割分担で組み合わせています。
nmap｜ポートと公開サービスの確認インターネットに向けて開いているポートと、そこで動いている公開サービスを確認します。「開けたつもりのないドア」を見つける役割です。
nuclei｜既知の脆弱性パターンの照合世界中で共有されている既知の脆弱性パターンを、対象サイトに対して網羅的にチェックします。
OWASP ZAP｜Webアプリケーションの受動解析ページをたどるスパイダーと、応答を解析するパッシブ解析でWebアプリケーションを検査します。攻撃リクエストを送るアクティブスキャンは行いません。
Nikto｜Webサーバーの既知の問題・設定不備Webサーバー本体の既知の問題や、設定の不備を確認します。
WordPressと判定されたサイトのみ、本体・プラグインのバージョンを既知の脆弱性データベースと照合します。WordPress以外のサイトでは実行しません。
能動診断は対象サイトへ実際にアクセスするため、第三者のサイトを勝手に診断できてはいけないからです。サイトドックでは、精密健診の前に、次の2方式のいずれかで「あなたがそのサイトの管理者であること」を確認します。
<meta>タグを、対象サイトのトップページに設置していただきます。どちらも「そのサイト・そのドメインを管理できる人にしかできない操作」です。確認が取れたサイトに限って、精密健診を実施します。
方針はひとつ、「確認できないものを、弱点として数えない」ことです。
検査ツールは、疑わしいものを幅広く拾う性質があります。拾った結果をそのまま並べると、実際には問題のない項目までレポートに載り、本当に直すべき弱点が埋もれてしまいます。
そこでサイトドックでは、判定がつかない項目は「弱点」として所見にしない方針をとっています。たとえばセキュリティヘッダのような項目は、検査エンジンの報告を鵜呑みにせず、確定的な再取得でもう一度サイトの応答を確認して裏取りしてから判定します。メールを受け取らないドメインにメール関連の指摘を出さない、といった前提条件のチェックも同じ考え方です。
「多く見つけること」より「直すべきものを正しく伝えること」。レポートの数字を膨らませない誠実設計を、精密健診の土台にしています。
URLを入れるだけで、Webサイトの“外から見える弱点”をその場でチェックできます。登録は不要、費用もかかりません。精密健診は、かんたん健診のあと所有者確認を経てお申し込みいただけます。
無料で健診をはじめる