診断結果の「未確認」の確認方法。項目ごとに自分で確かめる手順

SECUNOA の無料診断は、外から観測できなかった項目を「問題なし」とは書かず、「未確認」と書きます。この記事では、未確認になる理由の見分け方と、項目ごとに自分で確かめる方法を説明します。手順は 2026 年 10 月時点のパソコン版 Chrome の画面をもとにしています。表記は版によって変わることがあります。

「未確認」になる 3 つの理由

結果の各項目の説明文に、未確認になった理由が書かれています。大きく分けて次の 3 つです。

説明文の例	理由	最初にすること
「HTTPS の応答を取得できなかったため」	サイトに https:// で接続できなかった	ブラウザで https:// のアドレスが開けるか確かめる
「上限到達」「時間切れ」	診断の回数（HTTP 12 回・DNS 8 回）や時間の上限に達した	時間をおいてもう一度診断する
「公開情報からは分かりませんでした」	そもそも外に出ていない情報	管理画面で確かめるか、担当者に聞く

1 つ目の理由のときは、ブラウザへの安全指示（ヘッダー）や Cookie、混在コンテンツなど、トップページの応答を使う項目がまとめて未確認になります。ブラウザで開けない場合はサイト自体が止まっている可能性があるので、制作会社や保守担当に連絡してください。ブラウザでは開けるのに未確認になる場合は、サーバー側で診断の接続が制限されていることも考えられます。

ブラウザで確かめる項目

ここからは、Chrome のデベロッパー ツール（ページの裏側の情報を見るための機能）を使います。開き方は、ページ上で右クリックして「検証」を選ぶか、Windows なら F12 または Ctrl+Shift+I、Mac なら Cmd+Option+I です（Chrome の公式ドキュメント）。

証明書の有効期限

証明書（暗号化通信のための電子的な身分証）は、診断を動かす環境によっては詳細を取得できず、未確認になることがあります。

デベロッパー ツールの「プライバシーとセキュリティ」パネルで「セキュリティ」の「概要」を開き、「証明書を表示」を押すと、有効期限と発行者が表示されます（公式ドキュメント）。アドレスバーの左にあるアイコンを押して、接続についての表示から証明書を開くこともできます。意味は 証明書 で説明しています。

ブラウザへの安全指示（セキュリティヘッダー）

HSTS（常に暗号化通信にする指示）、他サイトへの埋め込み防止（X-Frame-Options）、CSP（読み込んでよい先を絞る指示）などは、サイトがページと一緒に返す「レスポンス ヘッダー」に書かれます。

1. デベロッパー ツールの「ネットワーク」パネルを開きます。
2. 開いたままページを再読み込みします。
3. 一覧のいちばん上（ページそのもの）を押し、「ヘッダー」タブを開きます（公式ドキュメント）。
4. レスポンス ヘッダーの中に、Strict-Transport-Security、X-Frame-Options、Content-Security-Policy、X-Content-Type-Options があるかを見ます。

無ければ「設定なし」です。ここに Server や X-Powered-By があり、数字（版番号）が入っていれば、ソフトの版が外に出ています。各設定の意味は HSTS、X-Frame-Options、CSP にあります。

Cookie の属性

Cookie（ブラウザに保存される小さな記録）の属性は、デベロッパー ツールの「アプリケーション」パネルで「ストレージ」の「Cookie」を開き、サイトのアドレスを選ぶと一覧で見られます（公式ドキュメント）。日本語の表示では、Secure の列は「安全性」と書かれています。HttpOnly と SameSite はそのままの表記です。

無料診断が見るのはトップページで発行された Cookie だけです。トップページで Cookie が発行されなかった場合は、未確認ではなく「参考：Cookie は発行されていません」と表示されます。ログイン画面やお問い合わせフォームのページを開いてから同じ一覧を見ると、そこで使われる Cookie を確かめられます。属性の意味は Cookie の属性 にあります。

混在コンテンツ

https:// のページの中で、画像やスクリプトを http:// のまま読み込んでいる状態です。「プライバシーとセキュリティ」パネルの「セキュリティ」で、安全でないオリジン（暗号化されていない読み込み先）の欄に表示されます（公式ドキュメント）。仕組みは MDN の解説 にあります。

HTTP から HTTPS への転送

アドレスバーに http:// から始まるアドレスを入れて開き、https:// に切り替わるかを見ます。ただし、ブラウザの設定や過去の閲覧の記録によっては、ブラウザ側で https:// に切り替えることがあるため、この方法では確実には分かりません。気になる場合は担当者に「http:// を https:// に転送する設定があるか」を聞いてください。

公開してはいけないファイル

自社のサイトのアドレスの後ろに /.env、/.git/HEAD、/phpinfo.php を付けて開き、「見つかりません」のような画面になれば問題ありません。中身らしき文字が表示された場合は、内容を書き写したり人に送ったりせず、すぐに制作会社や保守担当に連絡してください。意味は .env ファイル にあります。

管理画面で確かめる項目

PHP の版

「公開情報からは PHP の版が分かりませんでした」と出るのは、版を外に出していない状態で、それ自体は良い状態です。版はサーバーの管理画面か、WordPress の「サイトヘルス」で確かめます。手順は WordPress と PHP のバージョンを確認する方法 と エックスサーバーで PHP バージョンを変更・確認する手順 にあります。

WordPress の版とログイン画面

WordPress の版は、管理画面の「ダッシュボード」→「更新」で確かめます。ログイン画面の公開状況は、サイトのアドレスの後ろに /wp-login.php を付けて開けば分かります。

公開ツールで確かめる項目

SPF、DMARC（会社名をかたるメールへの対策）、メールサーバー（MX）が未確認だった場合は、DNS（ドメインの設定を引く仕組み）の問い合わせに失敗しています。Google が公開している Admin Toolbox の Dig で、TXT を選んでドメインを調べると SPF が、「_dmarc.」を付けたドメインを調べると DMARC が表示されます。意味と頼み方は 自社ドメインのなりすましメール対策 にあります。

自分で確かめきれないとき

画面の見方が分からない、確かめた結果をどう判断すればよいか分からない、という場合は、詳細診断（29,800 円税込）で人の目で精査し、原因と直し方、制作会社への依頼文までを用意します。原因を特定できない項目は、その旨と次に試すことを書いて納品します。何が納品されるかは 報告書の見本 で確かめられます。結果全体の読み方は セキュリティ診断の結果の見方 にあります。