ウェブサイトのセキュリティ診断レポートの読み方
診断は数十件の指摘とスコアを返します。そのアウトプットを、ノイズに溺れずに短く優先順位付けされた修正リストへ変える方法を解説します。
最初のセキュリティ診断は、診断ダンプを開いたように感じられます。見出しのスコア、色分けされた指摘の壁、そして大量の略語。スコアは*現在地*を、指摘は*次に何をすべきか*を教えてくれます。本記事では、セキュリティエンジニアと同じようにレポートを読む方法を、最上段の数字から今週最優先の一手まで順にたどります。
まずスコアを見る。ただしそこで止めない
IsSafeSite は 3 つの観点を 1 つの数値にまとめます。セキュリティ（60%）、SEO（20%）、トラフィック保護（20%）。総合点が良くても重大な問題が 1 つ隠れていることがあるため、スコアは合否判定ではなく、時間とともに観察する傾向線として扱ってください。診断の本質は、その下に並ぶ指摘です。
まず深刻度で、次に手間で並べ替える
すべての指摘には深刻度が付いています。リスクの高いところへ時間を割くため、この順で対応します。
- 1致命的（Critical） —— いま悪用可能、またはデータを直接露出している。今日中に修正。
- 2高（High） —— 現実的な攻撃経路、または全体を弱める制御の欠落。
- 3中（Medium） —— 他の問題と組み合わさって効いてくる堅牢化の不足。
- 4低／情報（Low / Info） —— ベストプラクティスの助言。まとめて一度の整理で対応。
同じ深刻度の中では、まず手間の少ない修正から。Strict-Transport-Security ヘッダーの欠落は 1 行の変更で効果が大きい一方、セッション処理の作り直しはそうではありません。「低コスト・高深刻度」から片付けるのが、数値を動かしリストを短くする最短路です。
1 件の指摘を最後まで読む
各指摘は単独で理解できるように書かれています。良い指摘は 4 つの問いに答えます。
- 何が観測されたか —— それを引き起こした具体的なヘッダー、パス、証明書フィールド、または応答。
- なぜ重要か —— 一般的な警告ではなく、具体的なリスク。
- どう直すか —— 具体的なディレクティブ、設定ブロック、またはコード変更。
- どう確認するか —— クリーンな再診断がどう見えるべきか。
検索結果の修正を一括で当てたくなる衝動は抑えましょう。無関係なサイトからコピーしたヘッダー値はアプリを壊すことがあります（厳しすぎる Content-Security-Policy が典型例）。「どうやるか」を当てる前に「なぜ」を読んでください。
誤検知と本当の欠陥を分ける
自動診断は大規模なパターンマッチングなので、誤検知はときどき起こります。CDN 側で設定され診断器から見えないヘッダーや、意図的に公開している「露出」パスなどです。分析は深刻度・確信度・根拠を示し、まさにあなたが判断できるようにしています。何かを除外する前に自分の設定で確認し、除外するなら理由を書き残してください。
レポートを短い計画に変える
40 項目のToDoではなく、計画でレポートを締めくくりましょう。実行可能な週次のリズムはこうです。
- 1今週、すべての致命的と、1 行で直る高を修正する。
- 2残る高と中に担当者と日付を割り当てる。
- 3バッチごとに再診断し、スコアの変化と後退を確認する。
- 4意図的に受け入れるものには例外メモを残す。
最も頻繁に出会うヘッダーと TLS の指摘には、それぞれ詳しい解説があります。最も多い 10 のセキュリティヘッダーの誤りとサイトを危険にさらす SSL/TLS の設定ミスを参照してください。再診断を自動化する準備ができたら、機能ページと API ドキュメントで CI への組み込み方を確認できます。