診断について

SECUNOA の無料診断が、何を、どうやって、どこまで見るのかの全文です。サイトの管理者の方で、この診断からのアクセスを止めたい場合の連絡先も書いています。

自分のサイトの診断結果

この診断を secunoa.com 自身に対して実行した、最新の結果です（2026-10-30 00:23 UTC）。

対象ドメインに対し、通常の閲覧と同じ種類の HTTP リクエスト（GET と HEAD）を、1 回の診断につき最大 12 回送ります。
DNS の問い合わせは最大 8 回です。Cloudflare の DNS over HTTPS を使います。
WordPress のサイトでは、トップページの本文に出ているプラグイン・テーマの名前と版を、WordPress 公式の一覧（api.wordpress.org）の最新版と、取り込み済みの既知の脆弱性の情報（Wordfence Intelligence）に照らします。問い合わせるのはプラグイン・テーマの名前だけで、ドメイン名は送りません。対象サイトへの通信は増えません。
証明書の有効期限は、対象サイトではなく公開の証明書記録（Certificate Transparency）で調べます。問い合わせ先は SSLMate の Certificate Search API か crt.sh で、渡すのはドメイン名だけです。配信中の証明書を直接読むものではないため、結果にもその旨を書きます。
1 回の診断は全体で 20 秒、1 リクエストは 8 秒で打ち切ります。上限に達した項目は「未確認」として返します。
リダイレクトは同じサイト内で最大 3 回まで追います。別のホストへの転送は追わず、記録だけします。
送信元は User-Agent に SECUNOA-Check/0.1 (+https://secunoa.com/about-scan) と名乗ります。

トップページのほかに、次のパスを 1 回ずつ取得することがあります。いずれも公開されていれば誰でも閲覧できるもので、本文は先頭の 2KB しか読みません。

/robots.txt
/readme.html、/wp-login.php（WordPress と判定した場合のみ。ログイン画面は HEAD で存在だけ確認します）
/.git/HEAD、/.env、/phpinfo.php（公開してはいけないファイルが見えていないかの確認。.env の中身は結果に表示しません）

暗号化通信と証明書: 分かるhttps:// への切り替え、証明書の期限と発行者; 分からない暗号方式の全パターン、Web 以外の通信
ブラウザへの安全指示（ヘッダー）: 分かる常時暗号化、埋め込み防止、スクリプト制限などの設定の有無; 分からない設定が無いだけで攻撃が成立するかどうか
使っているソフトの版: 分かる公開されている PHP、WordPress、サーバーの版と、サポート終了の照合; 分からない版が隠されている部分
WordPress のプラグイン・テーマ: 分かるトップページで読み込まれているプラグイン・テーマの版を推定し、最新版と既知の脆弱性に照らす; 分からないトップで読み込まれないもの、有料品などで版が分からないもの
会社名をかたるメールの対策: 分かるSPF と DMARC の設定; 分からないメールサーバー自体の設定
公開してはいけないファイル: 分かる設定ファイル（.env）、ソースの履歴（.git）、サーバー情報（phpinfo）の露出; 分からない辞書を使った総当たりの探索（やりません）
Cookie と暗号化されていない読み込み: 分かるCookie の保護属性、http:// のままの画像やスクリプト; 分からないログイン後の画面

公開されているトップページと数個の固定パスへの通常のアクセスだけで確認しています。ログインが必要な画面や、トップページ以外のページは確認していません。
攻撃を模した通信（脆弱性を突く検査・パスワードの試行・フォーム送信など）は一切行っていません。そのため、実際に悪用できる脆弱性があるかどうかは分かりません。
Web（80/443 番）以外のポートやサービス（メールサーバー、FTP、管理画面用ポートなど）は確認していません。
サーバー内部のソフトウェアの版は、外部に表示されているものしか分かりません。表示がないことは「最新である」ことを意味しません。
WordPress のプラグイン・テーマは、トップページで読み込まれているものだけを確認しています。版は読み込み URL の値からの推定で、トップで読み込まれないものや版が分からないものは照合していません。
DKIM（メールの電子署名）はセレクタ名が分からないため確認していません。
結果は診断した時点のものです。設定の変更やサーバーの切り替えで変わることがあります。

無料診断とは別に、SECUNOA は事業者の方にサービスをご案内する前に、そのウェブサイトを、ブラウザで普通に開くのと同じ方法で見ることがあります。

取得するのは /robots.txt、トップページ、トップページからリンクされたお問い合わせのページの 3 つまでです（1 ドメインにつき最大 3 回）。同じサイトには 90 日以内に再び訪れません。
見るのは、ブラウザで開けば誰でも見える情報（応答やページに表示されたソフトウェアの版、著作権表記と制作会社の表示、証明書の有効期限、公開されているお問い合わせ先）と、DNS の公開レコードだけです。
上の「取得する固定のパス」のファイル（/.env など）は取得しません。サイト内の巡回、フォームの送信、ログインの試行もしません。robots.txt でサイト全体へのアクセスが拒否されている場合は、トップページも開きません。
結果は公開せず、診断結果としても保存しません。ご案内にお返事がない場合、記録は 90 日で削除します。
送信元は User-Agent に SECUNOA-Prospect/0.1 と名乗ります。

ご案内のメールには、見た内容と、このページへのリンクを書いています。アクセスやご案内を止めたい場合は、ドメインを添えて support@secunoa.com までご連絡ください。以後アクセスもご連絡もしません。

この診断からのアクセスを止めたい場合は、対象のドメインを添えて support@secunoa.com までご連絡ください。速やかに診断を停止し、保存している結果を削除します。利用者が自社のサイトと申告して診断したものですが、申告が事実と異なる場合は利用を停止します。

佐々木亮一（屋号 SECUNOA）　〒107-0061　東京都港区北青山1-3-3 三橋ビル 3階　support@secunoa.com