ホームページのセキュリティを無料診断｜8項目を確認できる「SFIMA Security Check」を公開

SSL化しているから、ホームページは安全？

自社サイトのURLが「https://」になっている。
これは、Webサイトのセキュリティを考えるうえで、とても大切な基本です。

ただし、HTTPSで接続できることだけで、Webサイト全体の安全性が分かるわけではありません。

HTTPS（エイチティーティーピーエス）は、簡単にいえば「Webサイトと利用者の間でやり取りする情報を、途中で盗み見されにくくする仕組み」です。

大切な対策ではありますが、これはセキュリティ対策の一部分です。

例えばWebサイトには、

• 古い「http://」のURLからアクセスされたとき、安全な「https://」へ正しく案内されるか
• ブラウザへ「このサイトではHTTPSを使ってください」と伝える設定があるか
• 意図しない場所からプログラムを読み込まないよう制限しているか
• 別のWebサイトから勝手に画面を埋め込まれにくくしているか

など、普段ホームページを見ているだけでは分かりにくい設定があります。

「SSL化はしたけれど、それ以外はよく分からない」
「ホームページは制作会社に任せていて、現在どんな設定になっているのか把握していない」
「長く運用しているサイトなので、一度セキュリティの状態を確認してみたい」

そんな経営者・Web担当者の方もいるのではないでしょうか。

そこでSFIMA株式会社では、自社サイトの公開設定を簡易的に確認できる無料ツール「SFIMA Security Check（スフィーマ セキュリティチェック）」を公開しました。

専門知識がなくても、現在のWebサイトで「どこは確認できていて、どこは追加確認した方がよいのか」を整理しやすくするためのツールです。

診断結果をもとに制作会社やサーバー管理者へ相談するときも、「何を確認してほしいのか」を具体的に伝えやすくなります。

なぜ、ホームページが「安全かどうか」は分かりにくいのか？

理由の一つは、「HTTPSで表示できていること」と「Webサイト全体が安全であること」が混同されやすいからです。

HTTPSは、利用者とWebサイトの間の通信を守る重要な仕組みです。

ただ、ホームページにはそれ以外にも、サーバーからブラウザへ「このサイトはこう扱ってください」と伝えるさまざまな設定があります。

例えば、これから登場するHSTSやCSPといった言葉もその一つです。

普段Webサイトを利用しているだけでは見ることが少ないため、

• そもそも何の設定なのか分からない
• 自社サイトに設定されているのか分からない
• 設定されていない場合に何をすればよいのか分からない

という状態になりやすいのです。

だからSFIMAでは、最初から「安全」「危険」の二択で決めつけるのではなく、まず外部から確認できる範囲を整理することが大切だと考えています。

SFIMA Security Checkとは？

SFIMA Security Checkは、公開されているWebサイトのURLを入力すると、外部から確認できる基本的なセキュリティ設定を簡易チェックできる無料ツールです。

現在の無料版では、8項目を確認します。

診断対象は、ご自身が管理しているWebサイト、または管理者から診断の許可を得ているWebサイトに限ります。

第三者が管理しているWebサイトを、許可なく診断する用途には利用しないでください。

診断では「HEADリクエスト（ヘッド・リクエスト）」という方法を利用します。

少し難しい言葉ですが、イメージとしては「ページの中身を全部読みに行くのではなく、封筒の表側に書かれている情報だけを確認する」ような方法です。

サーバーから返ってくる「HTTPレスポンスヘッダー（エイチティーティーピー・レスポンス・ヘッダー）」と呼ばれる情報などを確認します。

これも難しく聞こえますが、簡単にいえば「Webサーバーがブラウザへ返す、ページの扱い方に関する付箋や注意書き」のようなものです。

ページ本文そのものを読み取るためのGETリクエスト（ゲット・リクエスト）や、ログイン後の管理画面へ入るような検査は行いません。

現在公開している8項目の簡易診断は無料です。

将来的には継続監視や設定変化を知らせるサービスも検討していますが、これらは現在提供している無料診断とは別の構想です。

診断すると、何が分かりやすくなるのか？

SFIMA Security Checkの目的は、Webサイトを「安全」「危険」の二択で判定することではありません。

診断結果から、

• 今回の方法で確認できた設定
• 改善を検討できる設定
• 人に確認した方がよい設定
• 今回の方法では確認できなかった設定

を分けることです。

例えば診断後に、

• 「HSTSについて制作会社へ確認してみよう」
• 「CSPは他のサービスに影響する可能性があるので、勝手に変更せず相談しよう」
• 「検査不可の理由がURL転送なら、転送先を別の方法で確認してもらおう」

というように、「次に誰へ、何を確認すればよいのか」が考えやすくなります。

セキュリティの専門家でなくても、制作会社やサーバー管理者へ相談するための「共通言語」を持てること。

それが、SFIMA Security Checkで提供したい価値の一つです。

まず一覧で確認｜無料診断で見る8項目

難しい名前が続くと、それだけで読むのをやめたくなってしまいます。

そこで、まず「何を確認するものなのか」だけを簡単に一覧にしました。

項目	読み方	簡単にいうと
HTTPS接続	エイチティーティーピーエス	サイトとの通信が暗号化されているか
TLS証明書	ティーエルエス証明書	HTTPS通信に使う「Webサイトの電子的な身分証」のようなもの
HTTP→HTTPS転送	エイチティーティーピーからHTTPSへの転送	古い安全でないURLから安全なURLへ自動で案内できるか
HSTS	エイチエスティーエス	ブラウザへ「このサイトではHTTPSを使って」と伝える設定
Content-Security-Policy（CSP）	コンテンツ・セキュリティ・ポリシー／シーエスピー	どこからプログラムや画像を読み込んでよいか決めるルール
X-Content-Type-Options	エックス・コンテント・タイプ・オプションズ	ブラウザがファイルの種類を勝手に判断しにくくする設定
Referrer-Policy	リファラー・ポリシー	リンク先へ「どのページから来たか」をどこまで伝えるか決める設定
クリックジャッキング対策	クリックジャッキング	別サイトに画面を重ねられ、意図しないクリックをさせられる攻撃への対策

なお、この8項目は「8種類の脆弱性を探す」という意味ではありません。

HTTPS接続とTLS証明書のように関連する項目もあり、公開されているWebサイトの状態を複数の角度から確認するための8つのチェックポイントと考えてください。

無料で確認できる8つのセキュリティ項目を詳しく解説

1．HTTPS接続｜通信が暗号化されているか

HTTPS（エイチティーティーピーエス）は、Webサイトと利用者の間で送受信する情報を暗号化する仕組みです。

たとえるなら、誰でも読める「はがき」ではなく、途中で内容を見られにくい「封筒」に入れて情報を送るイメージです。

SFIMA Security Checkでは、HTTPSで正常に接続できるかを確認します。

ただし、HTTPS接続ができることは「サイト全体に弱点がない」という意味ではありません。

2．TLS証明書｜Webサイトの「電子的な身分証」

TLS（ティーエルエス）証明書は、HTTPS通信を成立させるために使われる電子証明書です。

簡単にいうと、「このWebサイトは、このドメインのサイトですよ」と確認するための電子的な身分証のような役割があります。

現在のSFIMA Security Checkでは、HTTPS接続が成立する範囲を確認しています。

証明書の有効期限や発行元などの詳しい情報までは、現在の無料診断では取得していません。

3．HTTPからHTTPSへの転送｜古い入口から安全な入口へ案内できるか

昔のURLや古いブックマークでは、「http://」から始まるURLが残っていることがあります。

その場合に、安全な「https://」へ自動で案内できるかを確認します。

これは、たとえるなら「古い入口へ来た人にも、新しい安全な入口はこちらです、と案内板を出しておく」ような設定です。

4．HSTS｜ブラウザに「HTTPSを使って」と伝える設定

HSTS（エイチエスティーエス）は「HTTP Strict Transport Security（エイチティーティーピー・ストリクト・トランスポート・セキュリティ）」の略です。

名前は難しいですが、簡単にいうと、ブラウザへ「このサイトではHTTPSを使ってアクセスしてください」と伝えるための設定です。

ただし、強い設定を入れればよいというものではありません。

サブドメインなども含めてHTTPS対応できているか確認せずに設定すると、意図しない影響が出る場合があります。

そのため、原因と影響範囲を確認しながら段階的に設定することが大切です。

5．Content-Security-Policy（CSP）｜読み込んでよいものを決めるルール

Content-Security-Policy（コンテンツ・セキュリティ・ポリシー）、略してCSP（シーエスピー）は、Webページがどこからプログラムや画像などを読み込んでよいかを指定する仕組みです。

たとえるなら、「この会社から届いた荷物は受け取ってよい、この知らない送り主からの荷物は受け取らない」という受け入れルールを作るイメージです。

適切に設定することで、意図しないプログラムが動作するリスクを減らす対策の一つになります。

一方で、厳しく設定しすぎると、Google Tag Manager、動画、フォームなど、本来必要な機能まで止まる場合があります。

設定前に、現在利用している外部サービスを確認する必要があります。

6．X-Content-Type-Options｜ファイルの種類を勝手に判断させにくくする

X-Content-Type-Options（エックス・コンテント・タイプ・オプションズ）は、ブラウザがファイルの種類を勝手に推測する動きを抑えるための設定です。

この「ファイルの種類をブラウザが推測する動き」をMIME sniffing（マイム・スニッフィング）と呼びます。

専門用語を覚える必要はありません。

簡単にいえば、「これは画像です」「これはプログラムです」とサーバーが伝えた種類を、ブラウザに勝手に読み替えさせにくくする設定です。

7．Referrer-Policy｜リンク先へ伝える情報の範囲を決める

Referrer-Policy（リファラー・ポリシー）は、ユーザーがリンクをクリックして別のページへ移動したとき、リンク先へ「どのページから来たか」という情報をどこまで伝えるか決める設定です。

たとえるなら、訪問先へ「どこから来たか」をどこまで名乗るか決めるルールです。

情報を送らなければよい、という単純な話ではありません。

アクセス解析や外部サービスとの連携もあるため、必要な範囲を考えて設定します。

8．クリックジャッキング対策｜見えない画面を重ねた不正操作を防ぎやすくする

クリックジャッキングとは、悪意のあるWebページに別のサイトを見えにくい状態で重ねるなどして、利用者に意図しない場所をクリックさせる攻撃方法です。

例えば、利用者には「動画を再生するボタン」に見えているのに、実際には別のページの重要なボタンを押させる、といったイメージです。

対策には、CSPの「frame-ancestors（フレーム・アンセスターズ）」や「X-Frame-Options（エックス・フレーム・オプションズ）」などがあります。

どちらも簡単にいうと、「自分のWebページを、他のWebサイトの中へ勝手に表示してよいか」を制御する設定です。

診断結果は4種類｜結果を見たあと何をすればよい？

SFIMA Security Checkでは、診断結果を「確認済み」「改善推奨」「要確認」「検査不可」の4種類に分けています。

大切なのは、結果の数だけを見るのではなく、そのあと何をすればよいかです。

診断結果	意味	次に考えること
確認済み	今回の方法で条件を満たしていることを確認できた	今回確認できた範囲を理解し、必要に応じて他のセキュリティ対策も確認する
改善推奨	設定を見直す余地が確認された	すぐ変更せず、変更した場合の影響を制作会社や管理者へ確認する
要確認	自動チェックだけでは十分判断できない	判断に必要な追加情報を制作会社・サーバー管理者へ確認する
検査不可	今回の方法では情報を取得できなかった	URL転送やアクセス制御などの理由を確認し、必要なら別の方法で確認する

「確認済み」＝サイト全体が安全、ではありません

「確認済み」は、今回チェックした条件を満たしていることが確認できた、という意味です。

Webサイト全体に弱点がないことを保証する表示ではありません。

「改善推奨」＝今すぐ危険、でもありません

設定を見直す余地がある状態です。

特にHSTSやCSPのように、変更すると他の機能へ影響する可能性がある設定は、原因と影響範囲を確認してから対応します。

「検査不可」＝危険ではありません

検査不可は、今回の診断方法では情報を取得できなかったという意味です。

危険だと判断されたわけではありません。

反対に、安全を確認できたという意味でもありません。

SFIMA Security Checkでは、分からない状態を無理に「安全」「危険」のどちらかへ分類しないことを大切にしています。

SFIMA Security Checkの使い方

STEP 1．診断するWebサイトを確認

自分が管理している、または管理者から診断の許可を得ている公開Webサイトを対象にします。

STEP 2．利用条件を確認してURLを入力

公開画面の案内に従ってURLを入力し、管理権限または診断許可があることを確認します。

不正利用を防ぐため、Cloudflare Turnstile（クラウドフレア・ターンスタイル）による確認を行う場合があります。

これは、簡単にいうと「大量の自動アクセスをするプログラムではなく、通常の利用者かどうかを確認するための仕組み」です。

STEP 3．結果だけでなく「次にできること」を確認

「何項目が確認済みだったか」だけではなく、それぞれの説明や改善の考え方も確認してください。

SFIMA自身でも診断をきっかけに設定を見直しています

SFIMA Security Checkは、他社サイトだけを対象に考えて作ったツールではありません。

SFIMA自身のWebサイトでも、診断やセキュリティ監査をきっかけに公開設定を確認しています。

2026年10月27日には、sfima.jpのHSTSについて、試験的に短く設定していた「max-age=300」から「max-age=15552000」へ変更し、代表が本番環境へアップロードしたと報告しています。

max-age（マックス・エイジ）は、簡単にいうと「ブラウザがHSTSのルールを何秒間覚えておくか」を示す数字です。

300秒は5分、15552000秒は180日です。

ただし、ここで大切なのは、「設定ファイルを書き換えてアップロードしたこと」と「実際の通信でその設定が正しく配信されていること」は別の確認だという点です。

そのため、この記事では「設定を変更してアップロードした」という事実までを紹介し、それだけを根拠に「セキュリティが改善した」と断定していません。

セキュリティ対策は、設定して終わりではなく、設定後に実際の状態を確認することまで含めて考える必要があります。

「検査不可」になった実例もあります

SFIMAが管理する「hitoiki.xyz」では、トップページへアクセスするとブログトップへ移動する設定になっています。

このような自動転送を「301リダイレクト（さんまるいち・リダイレクト）」と呼びます。

簡単にいうと、「この住所は移転しました。今後はこちらへ行ってください」とWebサイトが案内する仕組みです。

診断時には、確認済み2項目、要確認1項目、検査不可5項目という結果になりました。

これは、5項目が危険だったという意味ではありません。

現在のSFIMA Security Checkは、301リダイレクトされた先まで自動で追いかけて検査しない設計です。

そのため、転送先で設定されているHSTSやCSPなどを、今回の診断方法では確認できませんでした。

「分からないものを、分かったことにしない」ことも、セキュリティを確認するときには大切です。

なお、SFIMA Security Checkは一般公開したばかりのため、現時点では第三者利用者の成果を「成功事例」として掲載していません。

今後、公開許諾を得られた事例や十分なデータが蓄積した場合も、対象・条件・確認範囲を明確にしたうえで紹介します。

無料診断でわかること・わからないこと

無料診断でわかること

現在の無料版では、公開WebサイトのトップURLについて、外部から確認できるHTTP・HTTPS接続や、サーバーから返される設定情報の8項目を簡易的に確認できます。

この無料診断だけではわからないこと

• XSS（クロスサイト・スクリプティング）など、Webサイト内部のプログラム上の弱点
• SQLインジェクション（エスキューエル・インジェクション）など、データベースへ不正な命令を送り込める弱点
• WordPress本体・テーマ・プラグインに既知の脆弱性があるか
• 管理画面のパスワードが十分に強いか
• 2要素認証が設定されているか
• ウイルスやマルウェアに感染しているか
• サーバー内部のすべての設定
• Webサイト内のすべてのページ
• TLS証明書の有効期限や発行元などの詳細
• 個人情報が漏えいしているか
• 将来サイバー攻撃を受けないこと

本格的な脆弱性診断やセキュリティ監査が必要な場合は、目的に合った専門的な調査が必要です。

SFIMA Security Checkは、「何から確認すればよいか分からない」という段階で、まず外から確認できる設定を整理する入口としてご利用ください。

こんなタイミングで一度確認してみてください

「今すぐ診断しなければ危険です」と不安をあおるものではありません。

ただ、次のようなタイミングは、一度現在の設定を確認してみるきっかけになります。

• ホームページを長期間運用していて、現在の設定を把握していない
• 制作会社やサーバーの設定を長く任せきりにしている
• HTTPS化したものの、それ以外のセキュリティ設定を確認したことがない
• .htaccess（ドット・エイチティーアクセス）などサーバー設定を変更した
• 制作会社へ相談する前に、まず確認事項を整理したい

.htaccessは、Apache（アパッチ）というWebサーバーで使われる設定ファイルの一つです。

簡単にいえば、URLの転送やアクセス制限、セキュリティ関連のルールなどをサーバーへ伝える設定ファイルです。

無料で確認できる範囲から現状を把握し、必要なものだけ次の確認へ進むという使い方をおすすめします。

WordPressサイトでも使えますか？

はい。公開URLであれば、WordPress（ワードプレス）で作られたWebサイトも診断対象になり得ます。

WordPressは、企業サイトやブログなどを管理・更新するために広く使われている仕組みです。

ただし、SFIMA Security Checkが確認するのはWordPressの中身ではありません。

外部から見えるHTTPSやサーバーから返される設定情報を確認します。

そのため、

• WordPress本体が古くないか
• 危険なプラグインが入っていないか
• 管理画面のパスワードが弱くないか

といった内容は、この無料診断だけでは判断できません。

SFIMA Security Checkのよくある質問

Q. SFIMA Security Checkは無料ですか？

はい。現在公開している8項目の簡易診断は無料で利用できます。

将来的な継続監視・設定変化の検知などは構想段階であり、現在提供している無料診断とは別です。

Q. SSL化されていれば安全ではないのですか？

HTTPS化は非常に大切ですが、それだけでサイト全体の安全性を保証するものではありません。

HTTPSへの転送、HSTS、CSPなど、ほかにも確認できる公開設定があります。

Q. 誰のWebサイトでも診断してよいですか？

いいえ。

ご自身が管理している、または管理者から診断の許可を得たWebサイトに限って利用してください。

Q. 「検査不可」が出たら危険ですか？

危険とは限りません。

URL転送やアクセス制御などにより、今回の方法では情報を取得できなかった可能性があります。

ただし、安全を確認できた表示でもないため、必要に応じて制作会社や管理者へ確認してください。

Q. WordPressの脆弱性も診断できますか？

いいえ。

WordPress本体、テーマ、プラグイン内部に弱点があるかを調べるツールではありません。

公開されているWebサイトを外側から見て確認できる8項目が対象です。

Q. 診断するとWebサイトに負荷がかかりませんか？

利用条件上、公開ドメインのHTTPS・HTTPのトップURLへ、それぞれ最大1回のHEADリクエストを送る低負荷な設計です。

HEADリクエストとは、ページの中身をすべて取得するのではなく、主にサーバーから返される設定情報を確認する通信方法です。

ただし、無断利用や大量・自動の連続利用は禁止しています。

Q. 入力したURLや診断結果は保存されますか？

SFIMA Security Checkでは、診断履歴を保存するための専用データベースは設けていません。

一方で、Webサービスを提供するために利用しているサーバーやCloudflare（クラウドフレア）、アクセス解析などの基盤上では、アクセスログやセキュリティ対策に必要な情報が扱われる場合があります。

そのため、「入力した情報がどこにも一切記録されない」とは案内していません。

利用前に、SFIMA Security Checkの利用条件とSFIMA株式会社のプライバシーポリシーをご確認ください。

SFIMA Security Checkの利用条件を確認する

SFIMA株式会社のプライバシーポリシーを確認する

Q. 改善推奨が出たら、すぐ設定を変更すべきですか？

必ずしも、すぐ変更すればよいわけではありません。

特にHSTSやCSPは、サブドメインや外部サービスへ影響する場合があります。

まず原因と影響範囲を確認し、必要に応じてバックアップを取ったうえで、段階的に変更・確認することをおすすめします。

まずは「何が分かっていて、何が分からないか」を整理する

セキュリティ対策は、難しい専門用語をすべて覚えることから始める必要はありません。

まずは、

• 今回確認できたこと
• 改善を検討できること
• 人に確認した方がよいこと
• 今回の方法では確認できないこと

を分けるだけでも、次に取る行動は考えやすくなります。

SFIMA Security Checkは、「あなたのWebサイトは安全です」とお墨付きを出すためのツールではありません。

自社サイトの現在の状態を知り、次に何を確認すればよいかを考えるための入口として開発しました。

難しい言葉が分からなくても問題ありません。

診断結果を見ながら、一つずつ「これは何の設定なのか」「自社ではどうなっているのか」を整理してみてください。

診断結果を見ても「どこから確認すればよいか分からない」「設定変更による他の機能への影響まで含めて相談したい」という場合は、必要に応じてSFIMAへご相談ください。

本診断は、公開されているWebサイトの設定の一部を確認する簡易チェックです。Webサイト全体の安全性や、脆弱性が存在しないことを保証するものではありません。

関連ページ

• SFIMA Security Check｜無料セキュリティ簡易診断
• SFIMA Security Check｜利用条件・データの取扱い
• SFIMA株式会社｜よくあるご質問
• Web・マーケティング施策の優先順位を整理する考え方
• SFIMA株式会社のマーケティングプロデュース完全ガイド

ASK AI

この記事を「自社の場合」に置き換えてAIと整理

この記事の内容をもとに、自社では何から取り組むべきかを普段お使いのAIに相談できます。利用するAIを選択してください。

● ChatGPTで相談 ● Claudeで相談 ● Google AI Modeで相談 プロンプトをコピー

AIサービスは別タブで開きます。各サービスの仕様・ログイン状況により、相談開始方法が異なる場合があります。SFIMA側へAI上で入力した相談内容を送信・保存する処理はありません。

FOLLOW SFIMA

SFIMAの記事を今後もチェックする

Googleの「優先ソース」に追加すると、AI時代のWeb制作・マーケティング・AI活用に関するSFIMA株式会社や和田淳志の記事を見つけやすくなります。

Googleの優先ソースに追加

Googleアカウントにログインしている場合、Googleの優先ソースとして登録できます。