セキュリティ診断の結果の見方。要対応・確認推奨・未確認の違い

5 つの判定の意味

SECUNOA の診断結果は、1 項目ごとに次の 5 つのどれかが付きます。点数や総合評価は出していません。

判定	意味
要対応	公式のサポート終了や証明書の失効など、放置した影響が確認できたもの
確認推奨	設定が無いことは観測できたが、影響はサイトの作りによって変わるもの
問題なし	その項目の観測では指摘なし。安全の証明ではない
未確認	外からは観測できなかった、または上限に達して確認しなかったもの
参考	対応は必須ではないが、知っておくとよい状態

「要対応」と「確認推奨」の違いは、影響がはっきりしているかどうかです。要対応は、公式の発表や期限などの事実で影響が説明できるもの。確認推奨は、設定が無いことは分かったものの、それで困るかどうかはサイトの作りしだいで、作った人に聞かないと決められないものです。

判定ごとの読み方と例

見本 の結果を例に、判定ごとに見ていきます。

要対応：先に手を付ける

例：「サイトを動かす PHP の版」が 7.4 と表示されている。PHP（ホームページを動かすプログラムの言語）の 7.4 は、公式のサポート状況 でセキュリティ修正が終わっています。新しい弱点が見つかっても修正が出ないので、上げる計画を立てます。頼み方は PHP バージョンアップを制作会社に依頼する文例 にあります。

確認推奨：作った人に聞いて決める

例として次のような項目が並びます。

• 「WordPress 本体の版」：古い版の表示が残っている。更新が止まっているのか、表示だけ古いのかは中を見ないと分からない
• 「常に暗号化通信にする指示（HSTS）」：設定が無い。意味は HSTS で説明しています
• 「他サイトへの埋め込み防止」：設定が無い
• 「会社名をかたるメールの対策（DMARC）」：設定が無い。頼み方は DMARC 設定を依頼する文例 にあります

どれも、設定を加えることで困ることは少ない項目ですが、サイトの作りによっては調整が要ります。担当者に「入れて支障がないか」を聞くのが進め方です。

問題なし：今の状態を保つ

例：「暗号化通信（HTTPS）への切り替え」「公開してはいけないファイル」。今回の観測では指摘が無かったという意味です。設定の変更やサーバーの切り替えで変わることもあるので、定期的に見直します。

未確認：見えなかったことを記録する

例：「PHP の版」で、サーバーが版番号を外に出していないため確かめられなかった。外から見えない項目を「問題なし」とは書かず、見えなかったと書いています。版番号を出さないのは良い設定でもあるので、実際の版は管理画面や制作会社に確かめます。確かめ方は 「未確認」の項目を確かめる方法 にあります。

参考：知っておけばよい

例：「管理画面のログイン画面」が誰でも開ける状態。WordPress では一般的な状態で、対応は必須ではありません。接続元を制限できる環境なら、制限を検討する材料になります。

どの順番で、誰に渡すか

手を付ける順番は次のとおりです。

1. 要対応：制作会社・保守担当に、結果の文面を添えて対応の見積もりを頼む
2. 確認推奨：同じ連絡の中で「入れて支障があるか」を聞く
3. 未確認：気になる項目だけ、担当者に確認できるか聞く
4. 参考：次に改修するときの検討材料として残しておく

渡すときは、結果画面の URL か PDF をそのまま添付するのが確実です。項目名と観測した値が載っているので、技術の担当者には何を見たかが伝わります。

担当者がいない、原因が分からないとき

制作会社と連絡が取れない、結果を送ったが「原因が分からない」と言われた、という場合は、詳細診断（29,800 円税込）で人の目で精査し、原因と直し方、優先順位、制作会社への依頼文まで用意します。何が納品されるかは 報告書の見本 で確かめられます。

無料診断で確かめられること

無料診断 は、ドメインを入れるだけで上の 11 項目を外から確かめ、各項目に 5 つの判定のどれかを付けます。対応した後にもう一度診断すれば、要対応や確認推奨が消えたかを見られます。全体像は ホームページのセキュリティ対策は何から始めるか にまとめています。