株式会社セルフプラス（本社：東京都練馬区、代表取締役：黒岩 俊児）は、ECサイトやWebサイトを運営する企業を対象とした「セキュリティ無料診断」の受付を始めた。公開されている情報だけを使い、サイトの外側から見える弱点を確かめるサービスで、申し込みに必要なのはサイトのURLを送ることだけだ。PHPやCMSのバージョン表示、SSL証明書、メールの認証設定などを確認し、見つかった点とその優先順位をレポートにまとめて提供する。
自社のECサイト・Webサイトの状態を、外から見える範囲で一度整理しておきたい企業に向けたサービスとなる。診断の詳しい内容と申し込みは、同社の専用ページで受け付けている。
攻撃や侵入テストは行わず、公開情報から9項目をチェック
診断では、公開されているページを通常どおり読み込み、公開DNSの情報などを確かめる。攻撃や侵入テストのほか、攻撃にあたる通信を送るタイプの脆弱性スキャンは実施しない。確認する項目は次の9つだ。
- SSL/TLS証明書と期限：証明書の有効性や有効期限、HTTPからHTTPSへの転送を確認
- セキュリティ関連のHTTPヘッダー：HSTS・CSP・X-Frame-Optionsなど、ブラウザ側の保護に関わる設定を確認
- 外から見えるCMS・カート・サーバーのバージョン：公開ページのソースやヘッダーに表示されるCMS・カート・PHP・Webサーバーの版を確認し、表示されている場合は古い版でないかを調査
- 古いJavaScriptライブラリ：公開ページで読み込まれているライブラリの版を確認し、脆弱性が公表された古い版でないかを調査
- 管理画面のログインページ：よく知られたURLのまま、外部からログインページが見つかる状態になっていないかを確認（ログインは試さない）
- フォームのスパム対策：問い合わせや会員登録などのフォームに、機械による大量送信を防ぐ仕組みがあるかを確認
- メールの認証（SPF・DKIM・DMARC）：公開DNSの情報からSPF・DMARCの設定と、DKIMの設定を外から確認できるかを調査
- 外部スクリプトの数と提供元：計測タグ・広告タグ・チャットなど、公開ページが読み込む外部スクリプトの数と提供元を整理
- 公表済みの脆弱性情報との照らし合わせ：外から確認できたCMS・カート・PHPなどの版を、公表済みの脆弱性情報と照合
優先順位付きのレポートとオンライン説明で対応を後押し
診断結果は、見つかった点、急ぐべき順の優先順位、直し方の方向性をまとめたレポートとして提供され、内容はオンラインで説明される。保守会社やサーバー会社にも共有できる判断材料として使える点も特徴だ。
申し込みからレポート受け取りまでの流れ
まず専用の無料診断フォームで「セキュリティ診断」を選び、サイトのURLを入力する。使っているCMS・カートや保守会社が分かる場合は、補足欄に記入する。続いて同社が公開ページとDNSの情報をもとに、外から確認できる範囲を調べる。この際、管理画面のアカウントやサーバーのパスワードを預ける必要はない。最後に、見つかった点と対応の優先順位、直し方の方向性について説明を受ける。
診断の対象範囲と注意点
この診断は、診断時点で外から見える範囲を確認するものとなる。サイトの安全性を保証するものではなく、不正アクセスや情報漏えいの防止を保証するものでもない。
管理画面の設定やサーバー内部の確認については、別途相談となる。また、改ざん・不正アクセスの調査や除去、法的判断は引き受けていない。
セルフプラスは東京都練馬区春日町6-8-5に所在し、代表取締役は黒岩 俊児氏。取材に関する問い合わせは info@self-plus.co.jp で受け付けている。
出典：株式会社セルフプラス
