何を、どこまで点検するのか
無料の簡易診断は、外から見える範囲だけを点検します。詳細診断と定期診断では、管理画面やサーバーの設定まで確かめます。
無料簡易診断のしくみ
攻撃する側は、まず外から見える情報でサイトの弱点を探します。スキゼロは、その同じ情報を先に確かめます。
ふつうの閲覧と同じアクセス
ページや公開ファイルを数回読みに行くだけです。書き込み、ログインの試行、負荷をかけるアクセスはしません。
最新版・サポート期限と照合
見つかったPHP・WordPress・プラグインのバージョンを、最新版やサポート期限と照らし合わせます。弱点の情報との細かな照合は詳細診断で行います。
A〜Eの判定と直し方
画面には8項目の判定を表示します。詳しい結果票には、危ないプラグインの名前と直し方の手順を書きます。
点検する8つの項目
| 検査項目 | 見ているところ | 判定の目安 |
|---|---|---|
| 通信ののぞき見・警告画面SSL証明書 | 証明書が有効か、期限まであと何日か | 残り14日を切るとC、7日でD、切れているかエラーならE |
| 修正が止まった土台のプログラムPHP | 外から読み取れるPHPのバージョン | 終了が半年以内ならC、終わった版はD、1年以上前に終わった版はE |
| 本体の更新漏れWordPress本体 | 本体のバージョンと最新版との差 | 修正版が未適用ならC、2つ以上古い版はD以下 |
| 危ない追加機能プラグイン | 外から分かるプラグインと、その最新版との差 | 更新の遅れ1件でC、2件以上でD、配布停止のものがあればE |
| ログイン名の丸見えユーザー名 | 投稿者ページやREST APIからログイン名が読めるか | 読み取れればC |
| 見えてはいけないファイル不要なファイル | 説明ファイル（readme）の残り、アップロード先のファイル一覧の公開 | readmeが残っていればB、ファイル一覧が見えればD |
| 守りの設定の抜けセキュリティ設定 | セキュリティヘッダー6項目の有無 | 5項目以上でA、4でB、2〜3でC、1でD、0でE |
| なりすましメールSPF・DMARC | ドメインの公開情報（DNS）にあるSPF・DMARCの設定 | 両方ありでA、DMARCが見張りだけならB、どちらかがないとC、両方ないとD |
外から版が読み取れない項目は「−」（判定なし）と表示します。版を隠す設定は、それ自体がよい対策です。総合判定は、いちばん悪い項目がDかEなら「要対策」、Cなら「要注意」、それ以外は「良好」です。
詳細診断で追加で見るところ
- 管理画面のユーザーと権限（使っていないアカウント、管理者の数）
- プラグイン・テーマの一覧と更新状況（止まっているもの、配布が終わったもの）
- サーバーのPHP設定、WAF、自動バックアップの設定
- 公開フォルダに残った不要ファイルとファイルの権限
- お問い合わせフォームと個人情報の扱い
ログイン情報をお預かりして確認し、報告書（PDF）と対策の優先順位をお渡しします。
定期診断で毎日見るところ
- ページの中身の変化（書き換えや、見覚えのないページの追加）
- 使っているプラグインに出た新しい弱点
- SSL証明書とドメインの期限
- サイトが表示されているか
自動の点検は毎日1回です。見つけた異常は担当者が確かめ、営業日（平日9:00〜18:00）のうちにメールでご連絡します。土日祝日に見つけたものは、翌営業日のご連絡になります。
他人のサイトの詳しい結果はお送りしません
画面に出るのは判定だけです。危ないプラグインの名前などを書いた詳しい結果票は、次のどちらかで持ち主であることを確かめてからお送りします。
- 結果を受け取るメールアドレスが、サイトと同じドメインであること
- サイトに、こちらがお渡しする確認用のタグを置いていただくこと
無料簡易診断でわからないこと
- 管理画面の中の設定や、ユーザーの権限
- サーバーの中にあるファイルの改ざん
- 外からバージョンが読めないプラグイン
- WordPress以外の独自システムの弱点
これらは詳細診断で確かめます。
まずは、今の状態を知るところから。
URLを入れるだけで、数十秒で判定が出ます。登録はいりません。