診断ツールについて

ドメイン名を1回入れると、CMS・サーバーのバージョン露出・メール認証（SPF・DKIM・DMARC）・セキュリティヘッダ・SSL/TLS 証明書の4種類をまとめて診断し、結果を1枚にまとめて表示します。診断の種類を選ぶ必要はありません。

ご自身（自社）が管理するサイト・ドメインでお使いください。管理者の了承を得ていない他人のサイトは診断しないでください。

行うこと

1回の診断で相手のサーバーへ送るのは、次の4種類の合計です。数え方は「HTTP の取得1回」「暗号化通信の開始1回」をそれぞれ1回とします（DNS の問い合わせは相手のサーバーではなく DNS に送るので、別に数えます）。

• 入力されたドメインのトップページを、通常のブラウザと同じように https:// で取得します（転送は3回まで追います）。CMS とセキュリティヘッダの診断は、同じ取得結果を使います。読むのは応答のヘッダとトップページの HTML だけで、ページが読み込む画像やスクリプトは取りに行きません。
• http:// で開いたときに https:// へ転送しているかを確かめるため、http:// でも1回取得します。http:// のまま別の URL へ転送されるときだけ、3回まで追います。https:// の URL へ転送された時点で止めます。
• 443番に暗号化通信を開始し、証明書を受け取ります（通常1回。証明書の検証に失敗したときは、中身を読むためにもう1回）。古い方式（TLS 1.0／1.1）は、それぞれ相手の最初の返事だけを読んで切ります（各1回。返事で決められないときだけ、もう1回ずつ）。
• DNS に公開されている情報（SPF・DMARC・DKIM・MX）を問い合わせます。入力が「www.」で始まるときは、メールの診断は「www.」を外したドメインで行います。

合わせて、相手のサーバーへの通信は通常5回（暗号化通信の開始3回・ページの取得2回）、転送や再試行が重なっても16回までです。上限に達したら、そこで打ち切ります。

WordPress の版が古いかどうかは、WordPress の公式の公開情報（api.wordpress.org）から作った表と比べます。表は週に1回作り直しており、診断のたびに外部へ問い合わせることはありません。

版と OS の読み取り（推測の限界）

• PHP・Web サーバー（Apache・nginx・IIS など）の版は、応答のヘッダ（Server・X-Powered-By）に出ている名乗りだけから読みます。版が出ていないときは「版を公開していません（良い設定です）」と表示します。版を出さない設定は、攻撃する側に手がかりを与えないので望ましいことです。ただし、見えないことと最新であることは別です。
• OS は、Server ヘッダなどの名乗り（「(Ubuntu)」「(CentOS)」、配布元が版に付ける記号、Red Hat 系の OS が付ける OpenSSL の版など）から推測します。推測できたときは、提供元が公表しているサポート期間と比べます。提供元のサポート（提供元の有償の延長を含む）が終わった OS は「問題あり」、無償の修正は終わったが提供元の有償の延長が続く OS は「推奨」、サポート期間の中なら「参考」です。
• 推測なので、確かではありません。前段に CDN や負荷分散の装置があると、その機器の名乗りのことがあります。版の番号から OS の版を決められないとき（同じ番号が複数の版で使われるときなど）や、手がかりが食い違うときは、版やサポートの状況を判定しません。
• 公開中の脆弱性の注意喚起のうち、版で当否が分かるもの（例：PHP の CVE-2026-109618・109619）は、読めた版を修正版と比べます。Linux の配布元やレンタルサーバーの事業者は、番号を変えずに修正を取り込むことがあります。このため、配布元の記号が付いた版（例：7.4.3-4ubuntu2.24）は「推奨」にとどめ、記号の無い版でも「番号のとおりなら」当たるという書き方にしています。結果は、提供元の案内と合わせて確かめてください。版が出ていないサイトは、当否を判定できません。

行わないこと

• 脆弱性を試す送信（XSS などの攻撃にあたる文字列の送信を含む）、ログイン画面や管理用ファイルの探索、ポートの走査は行いません。
• 他のサイトを名乗った通信（CORS の設定の確かめ）や、管理用の機能（Spring Boot Actuator など）が外から見えるかの確認は行いません。通信が増え、持ち主であることの確認も要るためです。CORS は、最初の取得の応答に出ている指定だけを見ます。
• IP アドレスや社内向けのアドレスに向いたドメインは診断しません。転送先が社内向けのアドレスのときも、そこで止めます。

結果の見方

• 問題あり：応答の中身から、問題があると確かめられたもの（証明書の期限切れ、http:// のままページが開ける、サポートが終わった版、弱点が知られた版のライブラリ、注意喚起中の脆弱性に当たる版など）。
• 推奨：いますぐ被害につながるとは限りませんが、設定すると守りが固くなるもの。読み取った手がかりに推測を含むもの（URL の形から見たフレームワークの痕跡など）も、ここに入れています。
• 確認できず：時間切れや応答の形のために、判断できなかったもの。「問題なし」という意味ではありません。
• 問題なし・参考：確かめた範囲で問題が無かったもの、判定には使わない情報。

回数の制限

1人あたり10分に10回・1日50回まで、 同じドメインへの診断は10分に6回までです（4種類をまとめて1回と数えます）。 1回の診断は、4種類の合計で最長45秒、1種類あたり最長20秒で打ち切ります。 時間切れや接続の失敗で診断できなかった種類は、結果の画面にその理由を表示し、ほかの種類の結果は表示します。

入力と結果の扱い

• 診断の結果は保存しません。結果の画面を閉じると消え、結果を共有する URL もありません。結果のページは検索エンジンに載りません。
• 不正な使い方への対応のため、診断した日時・ツール・ドメイン名と、利用者の IP アドレスを復元できない形に変換した値を14日間だけ記録します。記録は公開しません。
• 入力されたドメイン名を一覧にして公開することはありません。

診断の通信を受けたサイトの管理者の方へ

この診断の通信は、インシデントニュースが送るもので、User-Agent に IncidentNewsCheck/1.0 (+https://incidentnews.jp/check/about/) を名乗ります。 ご自身のドメインを診断の対象から外したい場合は、お問い合わせからお知らせください。

結果について

外から見える範囲だけを確認しています。「問題なし」は安全を保証するものではありません。