スキャン結果をコンプライアンスの証跡に変える
セキュリティスキャンは、行動につなげてこそ意味があります。ここでのすべての指摘は懸念カテゴリごとに整理され、関連するSOC 2およびGDPRの管理策に対応付けられています。
無料でセキュリティ監査を実行スキャンの対象範囲
ヘッダーとトランスポート
CSP、HSTS(ブラウザのHSTSプリロードリストとのライブ照合を含む)、X-Frame-Options、TLS/証明書の設定。
情報漏えい
漏えいしたシークレット、機密ファイル、robots.txtで誤って露呈している管理画面やバックアップのパス。
CookieとCORS
Secure/HttpOnlyクッキーフラグの欠落や、緩すぎるCORS設定。
リファレンスマッピング
すべての指摘にCWE識別子とOWASP Top 10(2021)のカテゴリを付与し、該当する場合はPCIとの関連性も明示します。
懸念カテゴリと管理策のマッピング
| 懸念事項 | SOC 2 | GDPR |
|---|---|---|
| シークレットの漏えい | CC6.1, C1.1 | Art. 32 |
| 通信の暗号化 | CC6.7 | Art. 32 |
| アクセス制御 | CC6.1 | Art. 25 |
| インジェクションリスク | CC6.8 | Art. 32 |
| 依存関係の脆弱性 | CC6.8 | Art. 32 |
| 情報開示 | C1.1 | Art. 5(1)(f) |
| 監視のギャップ | CC7.2 | Art. 33 |
| 設定の堅牢化 | CC6.6 | Art. 25 |
仕組み
生の指摘事項から、カテゴリ分類・対応付けされた証跡へ。
URLを貼り付ける
エージェントのインストールもコードへのアクセスも不要です。実際のサイトに対する外部スキャンであり、攻撃者から見えるのと同じ視点です。
指摘事項をカテゴリ分類
それぞれの問題は、単なる一覧として並べるのではなく、懸念カテゴリ(シークレット、通信の暗号化、アクセス制御など)に振り分けられます。
管理策へマッピング
すべての懸念カテゴリは、関連するSOC 2トラストサービス基準とGDPR条文に対応付けられ、監査証跡を集めるための出発点となります。
よくある質問
いいえ、そのことは製品内でも明確に説明しています。これはヒューリスティックなカテゴリマッピングであり、認定された評価ではありません。スキャナーによる指摘は、ある管理策に関連する証跡であって、その管理策が満たされている証明ではありません。SOC 2とGDPRのコンプライアンスには、このスキャンでは評価できない非技術的な管理策(ポリシー、アクセスレビュー、ベンダー管理など)も必要です。実際の監査の代わりではなく、証跡を集めるための有用な出発点として活用してください。
Security Headers Checkerは、HTTPセキュリティヘッダーという1つのテーマを、完全なCSPディレクティブ分析とHSTSプリロード検証によって深く掘り下げます。このSecurity Auditは、より広範なスキャン(ヘッダーに加えてシークレット、Cookie、CORSなど)を行い、コンプライアンスに関連する懸念カテゴリと、それに対応付けられた管理策を軸に整理します。
スキャン結果は、いくつかの共通基準(CC6.1 論理的アクセス、CC6.6 ネットワークセキュリティ構成、CC6.7 伝送の機密性、CC6.8 悪意あるコードの防止、CC7.2 システム監視)、および機密性基準(C1.1)に対応付けられます。これらは、外部からのWebサイトスキャンで実際に観測できる範囲にもっとも直接関連する基準です。
主に第32条(処理の安全性)、第25条(データ保護バイデザイン)、および第5条1項(f)(完全性と機密性)です。これらは技術的なセキュリティ対策に関する条文であり、外部からのスキャンで言及できる範囲に該当します。
関連監査
ウェブサイト監査
パフォーマンス、SEO、アクセシビリティ、ベストプラクティスの無料インスタント監査を実行します。
SEO監査
クロール可能性、メタデータ、構造化データ、AIエージェントによる発見可能性を確認します。
パフォーマンス監査
デスクトップとモバイルの両方で行う完全なラボ性能監査と、フレームワークを考慮した修正案。
アクセシビリティ監査
サイトがどのWCAG 2.1/2.2成功基準を満たしていないか、その理由とともに正確に把握できます。
ウェブサイト速度監査
サイトの読み込み速度を専門用語なしの分かりやすい1つの数値で確認できます。
Core Web Vitals監査
LCP、CLS、INPをGoogleの基準値と照らし合わせ、ラボデータとフィールドデータの両方で確認します。
リンク切れチェッカー
ページ内のリンクをクロールし、ユーザーより先にリンク切れを見つけます。
セキュリティヘッダーチェッカー
CSP、HSTSなどすべてのHTTPセキュリティヘッダーを、一覧表示だけでなく分析します。
Open Graphチェッカー
ソーシャルプラットフォームに必要なog:title、og:description、og:imageタグがあるか確認します。
スキーママークアップチェッカー
検索エンジンやAIエージェントが読み取れるJSON-LD構造化データを配信しているか確認します。
サイトマップチェッカー
sitemap.xmlにアクセスでき、有効で、よくある間違いがないか確認します。
リダイレクトチェッカー
URLのリダイレクトチェーンを追跡し、ループ、過剰なホップ、HTTPSからHTTPへのダウングレードを検出します。
SSL チェッカー
有効期限、ホスト名、信頼チェーン、TLS バージョン、鍵の強度、HSTS を数秒で確認できます。
コントラストチェッカー
2色の WCAG コントラスト比を計算し、AA と AAA の判定と、基準を満たす色の提案を表示します。
技術チェッカー
サイトがどの CMS、フレームワーク、EC プラットフォーム、ライブラリで構築されているかを調べます。
robots.txt チェッカー
構文、Sitemap 行、サイズ上限を検証し、Googlebot などのクローラーが URL を取得できるかをテストします。
canonical チェッカー
canonical タグの欠落、重複、相対 URL、矛盾を見つけ、正規 URL が正常に読み込まれるかを確認します。
hreflang チェッカー
言語コード、x-default、自己参照を検証し、各代替ページから相互リンクが返っているかを確認します。
メタタグチェッカー
任意のページの title タグ、メタディスクリプション、H1 見出し、robots、viewport、Open Graph タグを確認します。
HTTP ステータスチェッカー
最大 20 件の URL について、200、301、404、500 やリダイレクトチェーンをまとめて確認します。
CSP 評価ツール
URL またはポリシーの貼り付けで、unsafe-inline、unsafe-eval、ワイルドカード、object-src や base-uri の欠落を確認します。
混在コンテンツチェッカー
HTTPS ページ上で、ブラウザがブロックまたは警告する http:// のスクリプト、スタイルシート、iframe、画像を見つけます。
代替テキストチェッカー
alt の欠落、空、ファイル名のまま、長すぎる画像を見つけ、アクセシビリティと画像 SEO を改善します。
API キー漏えいチェッカー
サイトの公開 HTML と JavaScript をスキャンし、露出した API キー、トークン、シークレットを見つけます。
MCPセキュリティスキャナー
リポジトリ内のバージョン未固定のMCPサーバー、漏えいトークン、危険なエージェント設定を検出。
バイブコーディングのセキュリティ
AIが書いたコードのシークレット、インジェクション、危険な依存関係をチェック。
ADA準拠チェッカー
ADA関連の事案で参照されるWCAG基準でサイトをテスト。
EAA準拠チェッカー
欧州アクセシビリティ法の基盤となるWCAG基準でサイトをチェック。
代理店向け
1つのチームプランで、クライアントサイトのSEO・速度・アクセシビリティ・セキュリティを監査。
関連記事
Website Security Headers Explained: The Complete Checklist
CSP, HSTS, X-Frame-Options, and every other HTTP security header your site should ship - with copy-pasteable examples.
How to Implement a Content Security Policy Without Breaking Your Site
CSP is the highest-leverage security header and the easiest one to break your own site with - a safe rollout strategy using report-only mode.