サイトの無料点検を始めてから、こう聞かれることが増えました。
実は、URLを1本見るだけで、「この会社のアドレスを名乗れば、偽の請求書を取引先の受信箱に届けられるか」まで分かります。
そして、これまで点検した会社のほとんどが、届けられてしまう状態でした。
ほかにも、そのサイトがどこの会社のサーバーに載っているか、ドメインがいつ切れるか、何年前の作りのまま止まっているか。調べるのにかかるのは数秒です。もちろん、サーバーには入っていません。
自社のサイトをお持ちなら、URLを送っていただくだけで、この記事に出てくる項目を無料で点検します。ログイン情報はいただきません。
無料点検を申し込む →1. 「外から見る」とは
ホームページは、誰が開いても見られる情報を、ふだんから外に出しています。家でいえば、表札、郵便受け、玄関のドアのメーカーや型番のようなものです。ブラウザでページを開くたびに、サーバーはこうした情報をいっしょに返しています。
点検で見ているのは、この「玄関の外から見えるもの」だけです。鍵を開けようとしたり、ログインを試したり、弱いところを実際に突いたりはしません。誰でも見られるものを、まとめて読んでいるだけです。
ここが大事なところで、こちらが数秒で見られるということは、攻撃する側も同じ数秒で見られます。攻撃する側は、この「外から見えるもの」を世界中のサイトについて機械で集め、古い鍵を使っている家から順に狙います。手口のほうはサイバー攻撃の手口、ほとんどは「戦い」ですらないに書きました。
2. URLだけで分かること
実際に点検でお送りしている項目を、困ることが大きい順に並べます。右の列は、これまでの点検で本当にあった例です。会社名は伏せています。
| URLから分かること | 何が困るのか | 点検であった例 |
|---|---|---|
| 🔑鍵（SSL証明書）の発行元と期限要注意 | 鍵は、ブラウザとサイトの間のやり取りを暗号にするためのものです。期限が切れると、ブラウザが「危険なサイトです」と警告を出し、お客さんはそこで帰ります | 鍵の期限が1か月前に切れていて、開くと警告が出る状態でした |
| 🧱何で作られていて、どの版か要注意 | WordPressなどの作り方や、その下で動くPHPの版の番号が見えることがあります。古い版のまま止まっていると、外から一目で分かります | WordPressが2022年の版のまま、その後に出た修正が14回分入っていませんでした。サポートが終わった古いPHPの版の番号が、外から見えているサイトもありました |
| 🏠ドメインをどこで契約していて、いつ切れるか要注意 | ドメインは住所です。期限が切れると、ホームページもメールも止まり、他人に取られることもあります。期限が近いこと自体より、自動更新になっていない、どこで契約したか社内の誰も覚えていない、というほうが問題です | 期限が数日後に迫っているサイトがありました。自動更新かどうかは外からは分からないため、契約先での確認をお願いしました |
| 🏢どこの会社のサーバーに載っているか参考 | 制作会社がいなくなったとき、どこに連絡すればいいかの手がかりになります。攻撃する側には、そのサーバーの弱点を調べる手がかりになります | 海外の大手クラウド、国内のレンタルサーバー、ホームページ作成サービスなど、サイトごとにばらばらでした |
| ✉️httpで開いたとき、封筒に入るか注意 | httpsは、中身を封筒に入れて送るやり方です。httpのままだと、ハガキで送るのと同じで、運ぶ途中の誰かに文面が丸見えになります。問い合わせフォームに書いた名前や電話番号も、ハガキのまま届きます | URLの頭を「http」で打つと、封筒に入らないほうのページがそのまま開くサイトがありました。そのページの問い合わせフォームから送ると、入力した内容がハガキと同じ丸見えの状態で届きます。ふつうは「http」で来た人を「https」のほうへ自動で移す設定を入れますが、それが抜けていました |
| ✉️会社のメールが、なりすまされやすいか注意 | 会社のメールが本物かどうかを、受け取る側が確かめられる設定があるかが見えます。3章で詳しく書きます | なりすましを見分ける設定そのものが無い会社が、半分以上ありました |
| 🚪管理画面の入口が、誰でも開けるか注意 | 管理画面は、ホームページの文章や写真を書き換えるための画面です。その入口のログイン画面は、作り方ごとに決まった住所にあることが多く、誰でも開けると、パスワードを何万通りも試される的になります | URLの後ろに決まった文字を足すだけで、管理画面のログイン画面が誰でも開ける状態でした。パスワードさえ当てられれば、ページを書き換えられる入口です |
| 📝開発中の消し忘れ参考 | 作っていた途中の印や説明ファイルが残っていると、中の作りのヒントになります | 公開しているページに、開発用の印が残っていました |
ほかにも、使っている追加機能の版、外から読み込んでいる部品、メールを送ってもいい送信元の一覧など、細かいものまで入れると見る項目はもっと増えます。URLの頭に「s」が付いているかどうかだけでなく、同じURLから、これだけの情報が誰にでも見えています。
3. 会社のメールは、誰でもなりすませる
点検の結果で、いちばん驚かれるのがここです。
メールの差出人のアドレスは、実は誰でも好きに名乗れます。御社のアドレスを名乗って、取引先に偽の請求書を送ることもできてしまいます。
これを防ぐために、会社のドメインには「うちのアドレスを名乗るメールが、本物かどうか確かめてください。偽物だったらこうしてください」と、受け取る側に伝える設定を出しておけます。この設定をDMARC（ディーマーク）といいます。
偽物だったときの扱いは、3つから選びます。御社を名乗った偽の請求書が、取引先に届いたとします。
偽の請求書は、取引先のふだんの受信箱にそのまま届きます。
偽の請求書は、取引先の迷惑メールのフォルダに入ります。
偽の請求書は、取引先に届く前に止まります。
これまでに点検したサイトで、いちばん厳しい「受け取らない」にしているところは、ひとつもありませんでした。半分以上は、この設定そのものがありません。
この設定は、どの会社のものでも誰でも数秒で見られます。銀行やカード会社、大手のネット通販には、「受け取らない」まで進めているところが実際にあります。一方で、大企業でも「何もしない」で止まっている会社は少なくありません。
御社のメールがいまどの段階にあるかも、無料点検でお伝えしています。URLを送っていただくだけで、同じドメインのメールの設定も外から確認します。
無料点検を申し込む →4. 点検して多かったもの
「緊急性の高い問題」は、鍵の期限切れ、古いまま止まった作り、入力した内容が丸見えで送られてしまう問い合わせフォームなど、放っておくとお客さんの目に見える形で困ることが起きるものです。毎日見ているのはページの見た目なので、こうした外側の情報は、点検で並べて初めて目に入ることが多いです。
5. 外からは確かめられないこと
サーバーの中で動いているPHPの版（PHPとは？）は、外から見えるサイトもあれば、見せない設定にしていて見えないサイトもあります。見せない設定は良いことですが、見えないからといって、中が新しいとは限りません。
管理者のパスワードの強さや、バックアップを取っているかどうかは、そもそも外からは見えません。2026年10月21日に見つかったPHPの弱点については、PHPの脆弱性、うちのサイトは関係ある？に、サーバー会社にそのまま送れる問い合わせ文を置いています。
「外から見るだけでは不安なので、中も見てほしい」というご相談もいただきます。その場合は、有料での対応にはなりますが、当社用の作業アカウントを作っていただき、管理画面を見て確かめる「中の確認」をお受けしています。見るだけで、設定を変えたり、攻撃を試したりはしません。
6. 誰が直すのか
点検の結果は、項目ごとに「いまどうなっているか」「放っておくと何ができてしまうか」「どうすればいいか」の順で書いてお送りしています。専門の言葉が分からなくても、制作会社さんやサーバー会社さんにそのまま転送していただければ、何を直せばいいかが伝わる形です。
困るのは、転送する相手がいない場合です。作った制作会社と連絡が取れない、契約が何年も前に切れている、そもそも誰が作ったか分からない。点検のお申し込みでも、こうした会社さんは少なくありません。
まずはURLを送っていただければ、外から見える範囲を無料で点検します。結果を見て、社内や制作会社さんで直せそうなら、それで終わりです。
頼める相手がいない場合は、当社で修正をお引き受けします。修正は有料になりますので、内容を拝見してからお見積りをお出しします。直したあとも、期限切れや古い版が出ていないかを続けて見張る保守もご用意しています。
無料点検を申し込む →7. よくある質問
- 本当に無料ですか？
- 外から見える範囲の点検と、結果のご連絡までは無料です。直す作業をご依頼いただいた場合だけ、お見積りのうえで費用をいただきます。こちらから有料のサービスに切り替えることはありませんので、ご安心ください。
- 点検のときに、サイトに負担や影響はありますか？
- ふつうにページを開くのと同じ程度のやり取りしかしていません。ログインを試したり、弱いところを実際に突いたりすることもしないため、サイトが止まったり、表示が変わったりすることはありません。
- 結果を制作会社にそのまま渡せますか？
- 渡していただけるように書いています。メールをそのまま転送していただければ、どこを直せばいいかが制作会社さんに伝わります。
- 取引先のサイトも見てもらえますか？
- 点検の結果にはサイトの弱いところも含まれるため、ご自身や自社で管理しているサイトに限って承っています。取引先のサイトが気になる場合は、そちらの管理者の方から直接お申し込みいただけるとありがたいです。