「うちのサイトは大丈夫？」を30秒で確かめる——無料の「Webサイト安全診断」を作った理由と診断の流れ

約6分で読めます

10月21日に公表され、首相がX（旧Twitter）で異例の注意喚起を行ったPHPの重大な脆弱性「PHP2Shell」。金融機関や鉄道、自治体など約1,200もの企業・団体がWebサイトの一時停止を発表するなど、社会全体に大きな衝撃を与えました。

また、同じ10月には、多くのソフトウェアで使われる圧縮形式Brotliの脆弱性「HTTP2Shell」や、Rubyの正規表現エンジン「Onigmo」の脆弱性、認証局eMudhraの証明書ブロックなど、Webサイトを支える基盤技術で深刻な問題が相次いで発覚しました。

こうしたニュースを目にするたび、多くの企業のWeb担当者や経営者の方が、同じ不安を抱かれたのではないでしょうか。

「うちの会社のWebサイトは大丈夫だろうか？」

「調べるだけでも高いハードルがある」という課題

自社のWebサイトが安全かどうかを確かめようとしても、そこにはいくつもの壁があります。

数年前に外部の制作会社に作ってもらったきり、どんなCMSやプログラム言語、ライブラリが使われているのか社内では把握できていないケースは珍しくありません。かといって、制作会社やセキュリティ専門会社に調査を依頼しようとすれば、現状を調べてもらうだけでも多くの時間やコストがかかってしまいます。

「影響を受けるのか分からなくて不安だけれど、すぐに調査を頼むのもハードルが高い……」

そうやって確認が後回しになっている間にも、攻撃者は公開された弱点を狙って無差別にアクセスを続けています。

この課題を解決し、「まずは誰でも、コストをかけずに今すぐ自社サイトの現状を知れるようにしたい」 という思いから、Mediowlでは無料で使えるWebサービス 「Webサイト安全診断」 を開発・公開しました。

「Webサイト安全診断」は、特別な知識や事前のアカウント登録がなくても、ブラウザからURLを1つ入力するだけで、脆弱性のあるライブラリや古いソフトウェアを使っていないかをすぐに確認できます。

診断は、次の4つのステップで進みます。

トップページの入力欄に、自社が管理するWebサイトのURLを入力して「無料で診断する」ボタンを押します。

診断では、通常のブラウザでページを開くのと同じように、入力されたページと主要なページを読み込み、外側から見える情報や公開されている記録だけを調べます。攻撃にあたるような検査や大量のアクセスは行わないため、稼働中のサイトに負荷をかける心配はありません。

URLを入力すると、画面に進み具合を表示しながら、裏側で5つの工程が自動で進みます。

ページの読み込み：トップページと、お問い合わせフォームなどの主要なページを確認します。
ソフトウェアの特定：サーバーの応答やページの構成から、CMS（WordPressなど）、JavaScriptライブラリ（jQueryなど）、Webサーバー、プログラミング言語（PHPなど）の種類とバージョンを特定します（約7,600種類に対応）。
脆弱性とサポート終了の照合：見つかったバージョンを公的な脆弱性データベース（NVD・OSVなど）と照らし合わせ、既知の脆弱性や、実際の攻撃で悪用が確認されている脆弱性（CISA KEV）がないかを調べます。あわせて、修正プログラムが提供されなくなった「サポート終了（EOL）」のバージョンが使われていないかも判定します。
設定の不備とメール対策の確認：通信の暗号化（HTTPS・HSTS）やセキュリティヘッダーの設定、お問い合わせフォームの安全性、さらに自社ドメインを騙る偽メールを防ぐ設定（SPF・DMARC）を確認します。
AIによる要約の作成：検出された事実をもとに、AIが現在のリスクと優先すべき対応を専門用語を噛み砕いて整理します。