Webサイトの安全設定 確認レポート
サンプル株式会社 御中
社長向けの3行まとめ
- 土台となる通信の暗号化（https）はできています。
- 確かめた8項目のうち、3項目は対策済み、5項目は見直しをおすすめします。
- まず「http で来た人を https へ自動で切り替える設定」から。レンタルサーバーの管理画面のスイッチ1つで直る見込みです。
項目ごとの結果
- 対策済み
通信の暗号化（HTTPS）
https でトップページを開けました。
優先度—
- 対策済み
暗号化に使う証明書（SSL/TLS 証明書）
発行者：Let's Encrypt／期限まで 64 日。自動更新の設定をご確認ください。
優先度—
- 見直しをおすすめ
http で来た人を https へ自動で切り替え（HTTP→HTTPS リダイレクト）
http:// で開くと、暗号化されないままページが表示されます。
優先度高
- 見直しをおすすめ
次回からも必ず暗号化でつなぐ指示（HSTS）
設定が見当たりませんでした。
優先度中
- 見直しをおすすめ
他のサイトに重ねて表示させない設定（X-Frame-Options）
設定が見当たりませんでした。お問い合わせフォームのボタンを、別サイトから押させる手口に使われるおそれがあります。
優先度中
- 見直しをおすすめ
勝手なプログラムの埋め込みを防ぐ設定（CSP）
設定が見当たりませんでした。
優先度中（導入は段階的に）
- 見直しをおすすめ
使っているソフトの版数の見え方（Server ヘッダー）
外から版数まで読み取れます（サーバー：Apache/2.4.x、作成ソフト：WordPress 6.x）。
優先度低
- 対策済み
ファイルの種類の取り違えを防ぐ設定（X-Content-Type-Options）
設定されています（nosniff）。
優先度—
- 参考
ログイン情報などを守る Cookie の設定（Cookie）
トップページでは Cookie は使われていませんでした。
優先度—
直し方の例（制作会社さんへそのまま渡せます）
1. http で来た人を https へ切り替える
Apache（多くのレンタルサーバー）：公開フォルダの .htaccess の先頭
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]レンタルサーバーの管理画面に「常時SSL化」「HTTPSへ転送」のスイッチがある場合は、そちらを使うのがかんたんです。
2. HSTS とクリックジャッキング対策を足す
Apache：.htaccess／nginx：server { } の中
# Apache
Header always set Strict-Transport-Security "max-age=31536000"
Header always set X-Frame-Options "SAMEORIGIN"
# nginx
add_header Strict-Transport-Security "max-age=31536000" always;
add_header X-Frame-Options "SAMEORIGIN" always;HSTS は、https がすべてのページで問題なく開けることを確かめてから入れてください。最初は短い期間（max-age=86400 など）から始めると安心です。
3. 版数の表示を止める
Apache：httpd.conf（設定できない場合はサーバー会社へご依頼）
ServerTokens Prod
ServerSignature OffWordPress の版数表示は、テーマやプラグインの設定で止められます。あわせて WordPress 本体とプラグインを最新にしておくことが大切です。
このレポートで分からないこと
ログインが必要なページ、入力欄の中の処理、サーバーの中の設定は確かめていません。このレポートは「安全です」と保証するものではありません。確認の観点は、IPA「安全なウェブサイトの作り方」と OWASP Top 10 を参考にしています。