ABOUT GUARD SAGAS

GUARD SAGASとは

Webサイトの安全性を、もっと身近に。

GUARD SAGAS（ガード サガス）は、URLを入力するだけでWebサイトのセキュリティ状態を確認できるAIセキュリティ診断サービスです。 SSL・HTTPS、セキュリティ設定、WordPressなどのCMS、PHP・Webサーバーの構成、サポート終了（EOL）、既知の脆弱性（CVE）などを、外部から取得できる公開情報に基づいて診断します。

専門知識がなくても、「何が不足しているのか」「どのような危険性があるのか」「何から改善すべきか」を分かりやすく確認できます。

GUARD SAGASの目的

企業や店舗のWebサイトは、制作して公開すれば終わりではありません。 WordPressやプラグイン、PHP、Webサーバーなどのソフトウェアは継続的に更新され、新たな脆弱性が発見・公表されています。

しかし、公開後に設定やバージョンが見直されず、古い環境のまま運用されているサイトもあります。 見た目に問題がなく、通常どおり表示されていても、外部から確認できる範囲にセキュリティ上の改善点が残っている場合があります。

GUARD SAGASは、Webサイトの「外部から見えるセキュリティ状態」を可視化するためのサービスです。 現在の状態を把握し、必要な修正、バージョン更新、サイトリニューアル、継続的な保守管理へつなげることを目的としています。

どのようなサイトを診断できるか

GUARD SAGASは、インターネット上に公開されているさまざまなWebサイトを対象としています。

• 企業・法人のコーポレートサイト
• 店舗・施設・サービス紹介サイト
• ECサイト・オンラインショップ
• 採用サイト・情報サイト・ブログ
• 会員制サービスの公開ページ
• WordPress・EC-CUBE・Movable TypeなどのCMSで構築されたサイト
• LaravelなどのWebアプリケーションフレームワークを利用したサイト
• 静的HTMLで構築されたサイト

診断対象のサイトがどのような技術で構築されているかを、事前に把握している必要はありません。 外部から確認できる情報をもとに、使用されているソフトウェアや設定を調査します。

ただし、CMS・フレームワーク・サーバーソフトウェアの種類やバージョンを必ず特定できるわけではありません。 公開情報が不足している場合は、確認できた事実と推定情報を区別して表示します。

無料診断

無料診断は、URLを入力するだけでWebサイトの基本的なセキュリティ状態を確認できる簡易診断です。 会員登録やお支払いは不要です。

同じIPアドレス・対象URLに対する診断は、原則として1日3回までとなります。 サイトの現状や改善の必要性を把握するための入口としてご利用いただけます。

詳細診断（FULL CHECK）

詳細診断は、単発のお支払いでご利用いただける有料診断です。 無料診断の内容に加え、より広い範囲の公開情報を確認し、既知リスクの詳細、総合評価、AIによる解説、PDFレポートを提供します。

単に問題の数を表示するのではなく、なぜ問題なのか、どのような影響が考えられるのか、どのように改善するべきかを理解しやすい形で整理します。

CHECK1〜CHECK5の説明

CHECK1　通信・SSL

Webサイトと利用者の間で、安全な通信が行われているかを確認します。

HTTPSへの転送、SSL証明書の有効期限、信頼できない発行元、ホスト名の不一致、古いTLS（1.0 / 1.1）の受け入れ、HTTPSページ内の混在コンテンツなどを対象とします。

通信の暗号化に問題がある場合、利用者の情報保護やサイトの信頼性に影響する可能性があります。

CHECK2　基本セキュリティ設定

Webブラウザに対して安全な動作を指示するセキュリティヘッダーや、Cookie属性の設定状況を確認します。

• HSTS：HTTPS通信の利用をブラウザに指示する設定
• CSP：読み込み可能なコンテンツを制限し、XSSなどの被害軽減に役立つ設定
• X-Frame-Options：第三者サイトによる不正な埋め込みを制限する設定
• X-Content-Type-Options：コンテンツ種別の誤認識を防ぐ設定
• Referrer-Policy：参照元情報の送信を制御する設定
• Permissions-Policy：ブラウザ機能の利用範囲を制御する設定
• Cookie属性：Secure / HttpOnly / SameSiteなどの設定
• サーバー情報の露出：Server / X-Powered-Byなどに表示される構成情報

ヘッダーの有無だけでなく、設定内容や代替となる保護策も考慮して判定します。 例えばクリックジャッキング対策では、X-Frame-OptionsだけでなくCSPのframe-ancestorsによる制御も重要です。

CHECK3　サーバー・CMS構成

Webサイトで使用されているCMS、Webサーバー、PHP、ライブラリなどの構成情報を、外部から取得できる公開情報に基づいて調査します。WordPressでは、公開情報から確認できる本体・プラグイン・テーマの名称やバージョンも検査対象とします。

WordPress・EC-CUBE・Movable Type・Joomla・DrupalなどのCMSや、Apache・nginxなどのWebサーバー、PHP・Node.js・Djangoなどのソフトウェアについて、確認できた情報をもとに製品名・バージョン・サポート状況を調査します。

製品名とバージョンを確認できた場合は、取得済みの既知脆弱性情報（CVE等）と照合します。影響バージョンの範囲、修正版、適用条件などを確認し、該当が確定できる場合と追加確認が必要な場合を区別して表示します。

ソフトウェアの情報が外部へ公開されていない場合や、取得できる情報だけでは製品・バージョンを特定できない場合は、照合できないことがあります。 LaravelなどのフレームワークをCMSとして扱うことはなく、識別できない場合は「未検出」「確認不能」などとして表示します。

CHECK4　公開機能・既知リスク（詳細診断）

外部から確認できる公開機能や、意図せず公開されている可能性のある情報を調査します。

• robots.txt / sitemap.xmlなどの公開情報
• 管理画面URL・ログイン画面の露出
• WordPress REST API・xmlrpc.php・Pingback関連の公開状態
• ディレクトリ一覧表示
• バックアップファイルやデバッグ情報の露出
• .git / .envなどの危険な公開設定
• 外部から確認できるWebサイト改ざんの兆候
• Googleの危険URLリストへの登録状況

定義済みの限られた確認対象だけを低回数で取得して判定します。 大量のパス探索、ログイン試行、攻撃コードの送信などは行いません。 公開機能が存在すること自体が必ずしも脆弱性を意味するわけではなく、公開状態や設定を踏まえて評価します。

CHECK5　総合評価（詳細診断）

CHECK1〜4の結果を統合し、総合スコア（100点満点）、LEVEL、重大項目の件数、問題の組み合わせによる補正、確認不能項目などを算出します。

実際に確認できた問題と、情報不足によって確定できない項目を区別します。 重大な脆弱性についても、確定した問題と推定段階の情報を同じ扱いにはしません。

WordPressなどのCMS・プラグイン・テーマの脆弱性診断

WordPressをはじめとするCMSは、機能追加や運用のためにプラグイン・テーマ・拡張モジュールなどを利用することがあります。

これらのソフトウェアには、新機能の追加だけでなく、セキュリティ上の問題を修正する更新も提供されています。 古いバージョンのまま運用している場合、公開済みの既知脆弱性の影響を受ける可能性があります。

GUARD SAGASでは、公開情報から確認できたCMS本体や関連ソフトウェアについて、取得済みの脆弱性情報との照合を行います。

• WordPressなどのCMS本体のバージョン確認
• 公開情報から識別できるプラグイン・テーマなどの確認
• CMS本体や拡張機能に関する既知脆弱性との照合
• 影響を受けるバージョンと修正版の確認
• サポート状況や更新の必要性に関する案内

PHP・Webサーバーなどのサポート終了（EOL）確認

Webサイトを動かしているPHPやWebサーバーなどのソフトウェアには、開発元が更新やセキュリティ修正を提供するサポート期間があります。

このサポートが終了した状態をEOL（End of Life）と呼びます。

EOLとなったソフトウェアは、新しい脆弱性が見つかっても、通常のサポートでは修正が提供されない場合があります。 そのため、Webサイトが正常に動作していても、セキュリティ上のリスクが残る可能性があります。

GUARD SAGASでは、公開情報から確認できたPHP・CMS・Webサーバーなどのバージョンをもとに、サポート終了状況や更新の必要性を確認します。

該当製品について既知のCVE情報が確認できる場合は、EOLによるリスクと既知脆弱性の情報を関連付け、具体的な影響や対応方法を示します。

既知脆弱性（CVE）とは

CVE（Common Vulnerabilities and Exposures）は、公開されているソフトウェアなどの脆弱性を識別するための共通の識別子です。

例えば「CVE-2026-XXXXX」のような形式で表され、異なる情報源でも同じ脆弱性を識別するために利用されます。

ただし、CVEが存在するからといって、すべてのWebサイトがその脆弱性の影響を受けるわけではありません。 対象となる製品、バージョン、動作環境、設定条件などが一致する必要があります。

GUARD SAGASでは、取得したCVE情報をそのまま危険判定するのではなく、診断対象サイトから確認できた情報との対応関係を調べ、影響の有無を可能な範囲で判定します。

複数の脆弱性情報源を利用

GUARD SAGASでは、特定の情報源だけに依存するのではなく、国内外の複数の脆弱性情報源から公開情報を収集・管理しています。

情報源によって掲載製品、公開のタイミング、影響バージョン、修正情報などが異なるため、複数の情報を利用して確認できる範囲を広げています。

情報源によっては、新しい脆弱性が公開された直後に詳細な影響範囲が記載されていない場合があります。 GUARD SAGASでは、利用できる情報をもとに照合し、情報不足によって確定できない場合は区別して扱います。

取得した情報は定期的に更新しますが、各情報源の公開状況、メンテナンス、通信障害、取得タイミングなどによって反映までに時間がかかる場合があります。

重大な脆弱性を検出した場合

GUARD SAGASでは、重大な脆弱性に関する情報を、診断結果の中で分かりやすく確認できるようにしています。

重大なCVEに該当する可能性がある場合は、診断結果の注意表示で概要を確認でき、該当するCHECK項目の詳細から技術的な情報や必要な対応を確認できます。

CVEごとに確認できる情報

脆弱性の説明では、公開情報に含まれるCWEやCVSSなどの技術情報も参考にしながら、可能な範囲で原因と想定される影響を区別して説明します。

修正済みとされるバージョンが公開情報に記載されている場合は、その情報を表示します。 ただし、古い修正版への更新を一律に推奨するのではなく、現在サポートされている適切な最新版への更新を基本的な対応として案内します。

実際に悪用された脆弱性への注意

CISA KEVなどの情報源で実際の悪用が確認された脆弱性については、その事実を重要な判断材料として扱います。

CVSSの数値だけでは十分に表せない実際の悪用状況も考慮し、対策の優先順位を判断するための情報を提供します。

既知脆弱性情報の確認と公開

GUARD SAGASでは、CMS・プラグイン・テーマ・ソフトウェア・ライブラリなどに関する既知脆弱性情報を収集・管理し、診断時の照合に活用しています。

収集した脆弱性情報の一部は一般公開の情報ページでも確認できます。 診断を実行する前に、特定の製品や脆弱性について調べるためにもご利用いただけます。

公開情報には、脆弱性の概要、対象製品、影響を受けるバージョン、修正版、公開元へのリンクなど、取得・確認できた範囲の情報を掲載します。

診断結果の「確定」「推定」「確認不能」について

Webサイトの外部診断では、すべての情報を直接確認できるとは限りません。

GUARD SAGASでは、確認できた事実と推定情報を区別し、情報が不足している項目を安全と誤認しないようにしています。

既知脆弱性についても、対象製品・バージョンなどの条件が確認できたものと、追加確認が必要なものを区別します。修正パッチの適用状況などを外部から確定できない脆弱性については、該当する場合としない場合の両方を考慮し、スコアを下限〜上限の幅で表示することがあります。LEVELは下限スコアを基準に判定します。

例えば特定のOSだけに影響するCVEについて、対象サイトのOSが確認できない場合は、その脆弱性への該当を確定できないことがあります。

重大度の見方

診断結果では、検出された問題の重要性を判断するために、重大度を表示します。

重大度は、問題の種類、公開されている技術情報、想定される影響、悪用状況などに基づいて扱います。

LEVELの見方

GUARD SAGASでは、総合スコアと検出された問題の内容をもとに、Webサイトの状態を5段階のLEVELで表示します。

LEVELはスコアだけで単純に決定するものではなく、重大な問題の有無や複数の問題の組み合わせも考慮して判定します。

スコアの見方（100点満点）

スコアは100点からの減点方式です。 検出項目ごとの減点値に確信度係数（確認済み1.0 / 推定0.5）を乗じて減点し、複数の問題が組み合わさる場合には追加で減点します。

CMSの種類などの構成情報や、ファイルアップロード機能の存在確認など、情報表示のみの項目は減点しません。 また、EOLと既知脆弱性など関連する問題については、同じ危険性を不必要に重複評価しないよう考慮します。

一般的に運用されている企業サイトは、セキュリティヘッダーの未設定など複数の改善項目があっても60〜80点台に収まるよう基準を設計しています。

40点台以下は、診断で確認された問題や推定されたリスクなどによって減点が積み重なり、改善の優先度が高い状態を示します。 ただし、低いスコアだからといって、重大な脆弱性が複数確定しているとは限りません。検出内容、確信度、確認不能項目、スコアの幅をあわせて確認することが重要です。

診断対象ページの解析

GUARD SAGASでは、通信やサーバーの設定だけでなく、公開されているWebページのHTMLも解析します。

無料診断では最大2ページ、詳細診断では最大9ページを確認します。 詳細診断では、トップページなどからリンクをたどり、お問い合わせ・ログイン・一般ページなどを対象として選定します。

• CMSやページ構成に関する公開情報
• お問い合わせフォームなどの存在
• ログインフォームやパスワード入力欄の存在
• 外部スクリプトの読み込み状況
• ファイルアップロード機能の存在

ページの取得範囲は、サイト構成・アクセス制限・robots.txtなどによって異なります。 診断結果には、実際に確認したページのURLと確認内容を表示します。

ファイルアップロード機能の確認

公開ページのHTMLを解析し、画像・PDF・その他のファイルを送信するためのアップロードフォームが存在するかを確認します。

サイト管理者や制作会社が把握していないアップロードフォームの発見を支援する機能です。 過去に設置されたフォームや、管理状況を再確認する必要があるフォームなどを把握するきっかけとして利用できます。

• 検出：HTML内にファイルアップロード用の入力欄が確認された場合
• アップロード機能の可能性あり：ファイル送信用の設定があるものの、ファイル入力欄を確認できなかった場合
• 未検出：確認したHTMLの範囲では検出できなかった場合
• 未確認：対象ページを取得できず確認できなかった場合

アップロードフォームが検出された場合は、該当ページのURLと検出件数を表示し、設置状況や安全性の確認をおすすめします。

AIによる診断結果の解説

GUARD SAGASのAIは、プログラムが取得・判定した診断結果を整理し、分かりやすく説明する「解説者」です。

AIがWebサイトを直接巡回したり、攻撃したりすることはありません。 診断プログラムが算出したスコア・LEVEL・重大度・検出状態をAIが変更することもありません。

• 総合評価の解説：サイト全体の状態と改善の必要性を説明
• 主な問題点：設定不足や脆弱性の危険性、想定される影響を整理
• 改善の優先順位：重大度や影響範囲をもとに対応順序を提示
• 具体的な改善方向：設定変更、バージョン更新、公開範囲の見直しなどを案内
• 改善後に期待できる効果：軽減が期待できるリスクや再診断で確認する事項を説明

既知脆弱性が確認された場合は、CVE情報や影響バージョン、修正状況なども踏まえて改善方針を整理します。

PDF診断レポート

詳細診断では、診断結果をまとめたPDFレポートを生成し、有効期限付きのリンクからダウンロードできます。

PDFレポートは、サイト所有者による現状把握だけでなく、社内での説明、Web制作会社・保守担当者への修正依頼、改善作業の検討資料としても利用できます。

• 診断結果（対象URL・診断日時・診断範囲・診断ID）
• LEVELと総合スコア、推奨対応
• AIによる総合コメント・主な問題点・改善の優先順位
• CMS・PHP・Webサーバーなどの構成確認結果
• サポート終了（EOL）に関する判定
• 確認された既知脆弱性（CVE）の内容・影響・修正情報
• 診断対象ページとファイルアップロード機能の確認結果
• CHECK1〜5の検出項目と判定根拠
• 優先対応項目と具体的な対策
• 確認不能項目、診断範囲・免責事項
• お問い合わせ・特別診断のご案内

重大な脆弱性が確認された場合には、該当する診断項目に関連した技術的な情報も掲載し、問題点と対応方法を確認できる構成です。

診断の流れ

1. トップページでURLを入力し、無料診断または詳細診断を選択します。
2. 確認画面で診断対象URLとプランを確認して開始します。詳細診断はお支払い完了後に診断が始まります。
3. 診断中画面で進捗を確認します。完了すると自動的に結果画面へ移動します。
4. 結果画面でLEVEL・スコア・推奨対応を確認します。詳細診断ではAI解説とPDFレポートも利用できます。

診断結果の保存期間

GUARD SAGASでは、診断結果を一定期間保存し、結果画面の表示やPDFレポートの提供に使用します。

通常の診断履歴は、原則として14日間保存した後、自動削除する運用です。 結果の確認やPDFのダウンロードは、案内される有効期限内に行ってください。

将来的には、継続的なサイト管理を希望する方向けに、診断履歴の長期保存や過去の診断結果との比較などを提供することも検討しています。

診断停止設定について

GUARD SAGASでは、Webサイトの所有者・管理者の意思を尊重し、ご自身が管理するサイトに対する第三者からの診断を停止する仕組みを用意しています。

診断停止設定は、ユーザー登録不要・無料で申請できます。 対象サイトの所有・管理権限を確認したうえで、指定したホストへの診断を制限します。

診断停止設定には、対象ドメインと連絡用メールアドレスなどの入力が必要です。 認証キーは大切に保管し、第三者に公開しないでください。

管理担当者の退職、制作会社との連絡途絶、ドメイン所有者の変更などにより、既存の認証キーを利用できなくなった場合は、GUARD SAGASまでお問い合わせください。

診断停止設定はこちら →

特別診断・内部調査について

GUARD SAGASの通常診断は、外部から確認できる公開情報のみを利用します。 サーバー内部やプログラムの中身までは確認しません。

しかし、外部から見える問題だけでは、原因や影響範囲を正確に把握できないケースもあります。

例えば古いPHPが利用されている可能性がある場合でも、実際に適用されている修正や稼働環境の詳細は、サーバー内部を確認しなければ判断できないことがあります。

また、Webサイトの改ざんが疑われる場合や、プラグイン・テーマ・プログラム内部の問題を確認する必要がある場合は、公開情報だけの診断では十分ではありません。

そのような場合は、別途お見積りの「特別診断」として、以下を対象とした内部調査をご相談いただけます。

• FTP / SFTPで取得したサイトファイル一式
• サーバー内部の設定・ログ
• データベースの内容・構造
• ソースコード（改ざん・不正コード・設定不備の確認）
• WordPress内部（プラグイン・テーマ・ユーザー・設定）
• Laravel等のアプリケーション内部（設定・依存パッケージ・環境ファイル）

特別診断では、外部診断の結果と内部の実際の構成を照合し、必要に応じて脆弱性の影響、修正状況、不審なコードや設定などを詳しく確認します。

調査対象・作業範囲・接続方法・データの取り扱いなどを事前に確認し、お見積りのうえで実施します。 取得した情報は調査目的に必要な範囲で取り扱い、取り扱い方法や削除時期は個別のご案内・合意に従います。

Webサイトの改善・保守・リニューアルについて

セキュリティ診断は、問題を見つけること自体が目的ではありません。 大切なのは、診断結果をもとに必要な対策を行い、Webサイトを適切な状態に維持することです。

問題によっては、設定変更やソフトウェアの更新だけで改善できる場合があります。 一方、長期間更新されていないCMS、サポート終了環境、複雑化したプログラムなどでは、構成の見直しやリニューアルが適切な場合もあります。

GUARD SAGASでは、診断結果をもとに、セキュリティ修正、バージョン更新、構成の見直し、サイトリニューアル、継続的な管理についてもご相談いただけます。