WordPress脆弱性診断ツール（無料）

サイトが安全か調べる、無料の脆弱性診断

「自分のサイトが安全か調べるには、何から確認すればよい？」とお考えのWordPress運営者向けの簡易診断ツールです。WordPress本体の更新状況や、外部に公開されている情報を確認し、見直しが必要な項目を診断結果で案内します。
管理画面へのログインやプラグインのインストールは不要です。サイトの安全性を点検する最初の確認としてご利用ください。

サイトの安全性を調べる手順

1. 自分が管理するWordPressサイトのURLを、上の入力欄に入力します。
2. 「診断する」を押して、表示される診断結果を確認します。
3. 各項目の説明を読み、更新や設定の見直しが必要かを確認します。情報を取得できない項目は、管理画面やサーバーの管理画面で別途確認してください。

このツールで分かること

WordPress本体の更新状況

ページの公開情報からバージョンを取得できた場合、WordPress公式APIの最新版情報と比較します。バージョン情報が非公開の場合などは、更新状況を判定できないことがあります。

PHP・Apacheのバージョン情報

応答ヘッダーから取得できる範囲で、PHPやApacheのバージョンを確認し、ツールの判定基準に照らして結果を表示します。サーバー内部の設定や、各バージョンのすべての脆弱性を調査するものではありません。

XML-RPCの公開状態

XML-RPCの公開状態を応答から簡易判定します。有効と表示された場合は、利用している機能への影響を確認したうえで、制限が必要か検討してください。

REST APIからのユーザーID取得

WordPressのREST APIを通じて、ユーザーIDを外部から取得できるか確認します。ユーザー情報の公開範囲を見直すための参考になります。

入力URLのHTTPS利用

入力したURLがHTTPSで始まるかを確認します。SSL証明書の有効性、HTTPからHTTPSへの自動転送、HSTSや混在コンテンツは検査しません。

Serverヘッダーの情報露出

応答のServerヘッダーに、Apacheやnginxのバージョン情報が含まれているかを確認します。

診断結果の見方と、確認できないこと

警告が表示された項目は、説明に沿って更新状況や公開設定を確認してください。「不明」や「情報を取得できません」と表示された場合は、安全性を確認できたという意味ではありません。情報が非公開である場合や、アクセス制限などで取得できない場合があります。

警告がない場合も、サイト全体の安全性を保証するものではありません。プラグイン・テーマの既知脆弱性との照合、マルウェア感染、改ざんされたファイル、サーバー内部の設定は、このツールの診断対象外です。

閲覧先のURLが安全か調べたい場合

「サイトが安全か調べるサイト」を探している方でも、閲覧先のフィッシング・マルウェアの危険性を確認したい場合と、自分のWordPressの設定を点検したい場合では、使うツールが異なります。

このツールはWordPress運営者向けです。メールやSNSで届いたリンク、通販サイトなどの危険性を調べたい場合は、Google セーフ ブラウジングのサイト ステータスなど、閲覧先のURLを確認するサービスをご利用ください。