A社の確認結果
優先対応：HTTPSの設定証明書とHTTPS通信に改善が必要です
証明書の名前不一致、HTTPSへの転送なしを確認。HTTP側では保護ヘッダーの指定がありません。
SECURITY REPORT / SAMPLE
外部セキュリティ診断
レポートサンプル
セキュリティ対策によって、どのように改善されるのかを比較できるサンプルです。対策前と改善後の欄には、それぞれ改善前、改善後の実測結果を使用しています。
A社の簡易スコア
360 / 1000点
A社（改善後）の簡易スコア
920 / 1000点
A社（改善後）の確認結果
改善後：HTTPSと保護設定を確認HTTPSの基本を整え、ブラウザ保護も追加
証明書・HTTPS転送・HSTS・nosniff・埋め込み制限・Referrer-Policyを確認。残る改善項目はCSPヘッダーです。
改善後欄は、別サイトの設定改善後の実測結果を使った比較例です。
CHECK RESULTS
10項目で比較する診断結果（簡易版）
| No. | 確認項目 | A社 | A社（改善後） |
|---|---|---|---|
| ① | HTTPS証明書※リスク：接続先の正当性を確認できず、偽サイトを見逃すおそれがあります。 |
要改善★
共用ドメイン用の証明書。対象名が不一致。 |
確認済
★★★
変更後もHTTPS接続・証明書検証に成功。 |
| ② | HTTPSでのページ表示※リスク：安全にページを閲覧できず、利用者の離脱や問い合わせの機会損失につながります。 |
未確認★
証明書エラーで本文未確認。 |
確認済
★★★
変更後も本来のサイトのHTMLを確認。 |
| ③ | HTTP→HTTPS転送※リスク：暗号化されない通信が残り、盗聴・改ざんのおそれがあります。 |
要改善★
HTTP 200。HTTPS転送なし。 |
確認済
★★★
HTTP 301でHTTPSへ転送。 |
| ④ | JavaScriptライブラリ※リスク：古いライブラリの弱点を悪用されるおそれがあります。 |
未検出★★★
トップページにscriptタグなし。 |
確認済
★★★
確認したmain.js内に外部ライブラリなし。 |
| ⑤ | HSTS※リスク：HTTP接続を防ぐ保護がなく、暗号化されない通信が残るおそれがあります。 |
未確認★
HTTP：対象外 |
確認済
★★★
HTTP：転送済（HSTS対象外） |
| ⑥ | Content-Security-Policy※リスク：未設定では、不正なスクリプトの実行を抑える防御が減ります。 |
未確認★
HTTP：無し |
要改善
★
HTTP：転送済 |
| ⑦ | MIMEタイプの誤認防止※リスク：ファイル形式を誤認し、不正な内容を実行するおそれがあります。 |
未確認★
HTTP：無し |
確認済
★★★
HTTP：転送済 |
| ⑧ | 他サイトへの埋め込み制限※リスク：他サイトに画面を埋め込まれ、意図しない操作へ誘導されるおそれがあります。 |
未確認★
HTTP：無し |
確認済
★★★
HTTP：転送済 |
| ⑨ | Referrer-Policy※リスク：参照元情報の送信範囲をサイト側で明示的に制限できません。 |
未確認★
HTTP：無し |
確認済
★★★
HTTP：転送済 |
| ⑩ | サーバーの詳細バージョン露出 |
確認済★★★
Apache。詳細バージョン非表示。 |
確認済
★★★
HTTP・HTTPSともApache。詳細バージョン非表示。 |
| 合計 1000点満点 |
LEVEL D
360点
|
LEVEL A
920点
|
|
NEXT ACTIONS
改善は、この順番で。
- 対象ドメインのHTTPS設定を整える
wwwあり・なしの公開方針を決め、それぞれ必要な証明書とサイトの割り当てを設定。正しいページが表示されることを確認します。
- HTTPからHTTPSへ転送する
HTTPSの正常表示を確認してから転送を設定。HSTSもHTTPSの運用を確認したうえで導入します。
- jQueryの更新と動作確認
既存スクリプトとの互換性を確認し、修正済みのバージョンへ更新します。
- セキュリティヘッダーを整備し、再診断
外部フォント・Google Mapsなどの利用に合わせて設定を調整。保留中の項目を再確認し、総合点を算出します。
確認した応答・調査範囲を見る
A社（改善後）：設定改善後の応答（抜粋）
HTTP/1.1 301 Moved Permanently
Location: https://（対象ドメイン非公開）/
HTTP/1.1 200 OK
Server: Apache
Strict-Transport-Security: max-age=31536000
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-originA社は証明書の名前不一致とHTTP側のヘッダーを確認。A社（改善後）は設定改善後のHTTPS応答・HTML・公開JavaScriptを確認しています。両社は別サイトです。
2026年10月28日の確認結果です。サーバー内部、ログ、アカウント、マルウェア、全ページ、公開ポートの調査は行っていません。不正アクセスや改ざんの有無は判定していません。