shop.example（見本）
点検した日時: 2026年10月19日 06:00 (UTC) / 許可: dns-verified / 検出した関連ホスト名: 7 個 / 稼働中のホスト: 2 個
このレポートは、そのままサーバーの担当者（エンジニア）にお渡しください。どこを・なぜ・どう直すかを、担当者がそのまま作業できる形で書いています。社内に担当がいなければ、制作を頼んだ会社や、契約しているサーバー会社に転送すれば大丈夫です。
E
総合評価: すぐ直すべき（15点／100）
実際に攻撃してみた結果
調べた範囲 全 39 項目中 問題あり 5／確認・問題なし 34
⚠️ このサイトは侵入できます（重大な危険）
この診断で、次の入口から中に入れる／中の情報に手が届くことを確認しました：
- /.env が外から読めてしまいます
- ログインにSQLインジェクションの穴があります
- 管理向けの画面がインターネットから見えています
見つかった指摘（危険度の高い順）
危険度 高/.env が外から読めてしまいます
shop.example
なぜ危ないか
設定ファイル（パスワードや鍵が書かれていることが多い）が公開され、侵入の入口になります。
実際にこうでした（証拠）
GET /.env → 200。中身が本物の形式であることを確認（値は伏せています）。
どう直すか
/.env を外から読めないようにし、鍵は専用の金庫（Secret Managerなど）へ移してください。
危険度 高ログインにSQLインジェクションの穴があります
shop.example/login
なぜ危ないか
入力した文字がそのままデータベースへの命令に混ざり、なりすましログインの恐れがあります。
実際にこうでした（証拠）
ユーザー名に ' を入れて送ったら、SQLのエラーが返ってきました（500）。
どう直すか
入力値を命令に直接混ぜず、プレースホルダ（パラメータ化クエリ）を使ってください。
危険度 高管理向けの画面がインターネットから見えています
admin.shop.example
なぜ危ないか
管理画面が外から見え、入口が1つ破られると被害が大きいです。
実際にこうでした（証拠）
GET /admin → 200。管理コンソール画面であることを確認（ログイン情報は送っていません）。
どう直すか
決まったIPやVPNの中からだけ開けるようにし、多要素認証を必須にしてください。
危険度 中なりすましメール対策（DMARC）がありません
shop.example
なぜ危ないか
DMARCが無いと、なりすましメールを止めたり気づいたりできません。
どう直すか
DNSに DMARC の記録（_dmarc に v=DMARC1 ...）を追加してください。
危険度 低サーバーの種類とバージョンが外から見えています
shop.example
なぜ危ないか
具体的な版が見えると、その版の既知の弱点を狙い撃ちされやすくなります。
どう直すか
サーバーの設定でバージョン表記を消してください。
全項目の点検結果
見つかった問題だけでなく、調べた項目すべてを状態ごとに分けて載せています。「確認／問題なし」は設定を見て問題が無かったもの、「試して問題なし」は壊さない範囲で実際に試して穴が出なかったもの（この範囲での結果で、完全な安全の保証ではありません）、「未実施」はまだ試していないもの、「確認できず」は試みたが確かめられなかったもの、「徹底プランの対象」は上位プランで実施するものです。
通信と暗号化
SSL証明書（期限・正しさ）確認／問題なし
httpをhttpsへ常時転送確認／問題なし
通信を常に暗号化（HSTS）確認／問題なし
暗号方式（TLSの版・強さ）確認／問題なし
ブラウザを守る設定（ヘッダー）
不正スクリプト対策（CSP）確認／問題なし
画面の重ね対策（クリックジャッキング）確認／問題なし
ファイル種別の誤解釈対策確認／問題なし
参照元の漏えい対策確認／問題なし
Secure / HttpOnly
なりすましメール対策
情報の露出
サーバーの種類・バージョン指摘 1件
管理・運営画面の露出指摘 1件
危ないポートの開放（FTP等）確認／問題なし
設定ファイルの露出（.env/.git）指摘 1件
秘密情報の流出（Secret Leak）試して問題なし
サブドメイン乗っ取り確認／問題なし
攻撃への耐性（壊さない範囲で確認）
SQLインジェクション指摘 1件
XSS（クロスサイトスクリプティング）試して問題なし
番号を変えて他人の情報（IDOR）試して問題なし
総当たり対策試して問題なし
ログインの追加防御（2段階・パスキー）試して問題なし
CORS設定ミス試して問題なし
危険なHTTP操作試して問題なし
フォルダの丸見え（一覧表示）試して問題なし
オープンリダイレクト試して問題なし
パストラバーサル試して問題なし
依存パッケージ一覧の露出（package.json 等）試して問題なし
SSTI（テンプレート注入）試して問題なし
NoSQLインジェクション試して問題なし
既知のWebシェルの痕跡（設置済みを検知）試して問題なし
CSRF試して問題なし
OSコマンド注入試して問題なし
プロンプトインジェクション（AI）試して問題なし
SSRF試して問題なし
使っているソフトの弱点
既知の弱点があるソフト（php2shell等）確認／問題なし
CDN/WAFの利用状況
CDN/WAFの利用（ヘッダーで検出）CDN/WAFなし
ログイン後の検査（試験用アカウントで確認）
権限の確認漏れ（一般利用者が管理機能へ）試して問題なし
ログイン後に他人の情報が見える試して問題なし
ログアウト後も入れないか試して問題なし
外から見えた入口の一覧
ここは、外から誰でも見られる入口（サーバーやページ）の一覧です。数が多いほど、攻撃者が狙える場所が広がります。色が付いているところは、早めに手を入れたい箇所です。
| 入口（名前） | 返事 | サーバー | 題名 | ログイン画面 | 証明書 |
|---|
| shop.example | 200 | nginx/1.18.0 | Shop Example | | 2026-12-01（あと44日） |
| admin.shop.example | 200 | nginx | 管理コンソール | はい | 2026-11-10（あと23日） |