Webサイトの脆弱性診断サービスおすすめ19選を比較｜診断方式・料金・選び方を解説

自社のWebサイトやWebアプリケーションに、情報漏えいにつながる弱点が残っていないか不安を感じていませんか。会員登録や決済、問い合わせフォームを備えたサイトは、SQLインジェクションやクロスサイトスクリプティングといった攻撃の標的になりやすく、公開後に脆弱性が見つかると個人情報の流出や改ざんにつながりかねません。

新サービスの公開前や大型改修のタイミング、あるいは取引先やセキュリティ監査から実施を求められて、外部の脆弱性診断サービスの利用を検討する企業が増えています。

一方で、脆弱性診断サービスはツールで自動スキャンするものから専門の診断員が手作業で診るものまで幅広く、料金体系も診断範囲もさまざまです。自社のサイトを診てもらうには、どの診断方式の、どの業者を選べばよいのでしょうか。

本記事では、Webサイト・Webアプリケーションの脆弱性診断に対応するサービスを比較・解説します。診断方式（ツール型・ハイブリッド型・専門家による手動診断）ごとの向き不向きや、診断対象・料金形態・報告書・再診断・品質の見極め方、発注前に決めておくべきことまで整理しました。自社のサイトに合った依頼先を選ぶための判断材料としてご活用ください。

また、自社サイトの状況に合わせて適したサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。

本記事の対象範囲

本記事では、公開中または公開予定のWebサイト・Webアプリケーションに潜む脆弱性を外部の専門サービスに診断してもらう場合を対象に、依頼先となるサービスを比較します。Webアプリケーション診断を中心に、同じ依頼で申し込めるAPI診断やプラットフォーム（サーバー・ネットワーク）診断を含めて扱います。

自社の端末やネットワーク機器など社内資産の診断、侵入後の改ざんを継続監視するサービス、カテゴリ全体を横断した脆弱性診断サービスの比較は、それぞれ対象が異なります。診断対象をWebサイトに絞らず、クラウドやネットワーク、社内資産まで含めて脆弱性診断サービス全般を幅広く比較したい場合は、カテゴリ全体を扱う以下の記事をあわせてご覧ください。

Webサイトの脆弱性診断（サービス）とは

Webサイトの脆弱性診断とは、WebサイトやWebアプリケーションに潜むセキュリティ上の弱点（脆弱性）を、専用ツールや専門の診断員が疑似的な攻撃を通じて検出・評価し、リスクの重大度と対策の優先順位とともに報告するサービスです。攻撃を受ける前に弱点を把握し、公開前や運用中のサイトで是正できる点に価値があります。

診断では、入力値の処理やデータベースへの問い合わせ、認証やセッションの管理、アクセス制御といったWebアプリケーション特有の実装を点検します。独立行政法人情報処理推進機構（IPA）も「安全なウェブサイトの作り方」で、SQLインジェクションやクロスサイトスクリプティング（XSS）など届出件数の多い脆弱性を中心に、対策の考え方を公開しています。

どの脆弱性が検出対象になるかは後述の診断でチェックされる主な項目で整理します。

出典・参考資料（1件）

• 参考資料：安全なウェブサイトの作り方｜独立行政法人情報処理推進機構（IPA）

診断方法の3タイプと選び分け

Webサイトの脆弱性診断は、診断をどのように実施するかで大きく3つのタイプに分かれます。自社サイトの規模・扱う情報・公開のタイミング・予算によって向くタイプが変わるため、まずは自社がどのタイプを必要としているかを見極めることが、依頼先選びの出発点になります。3タイプの費用・スピード・網羅性と向くサイトの違いは、次の図で整理できます。

ツール型（SaaS自動診断）が向くサイト

ツール型は、診断用のクラウドサービスやスキャナがWebサイトを自動で巡回し、既知の脆弱性パターンを検出する方式です。専門の診断員の工数がかからない分、1回あたりの費用を抑えやすく、短時間で結果が出ます。機能追加やリリースのたびに自社で繰り返し実行し、継続的に弱点を把握したいサイトに向いています。

一方で、自動診断は決められたパターンに沿って検査するため、画面遷移が複雑な機能や、業務ロジックの不備といった「そのサイト固有の作り込み」に起因する脆弱性までは検出しきれないことがあります。扱う個人情報が限られ、診断範囲を絞って定期的にチェックしたい段階のサイトに適しています。

ハイブリッド型（ツール＋専門家の手動診断）が向くサイト

ハイブリッド型は、ツールによる自動スキャンで網羅的に洗い出したうえで、専門の診断員が手動で検証を加える方式です。自動診断の速さ・網羅性と、手動診断の深さの両方をバランスよく取り込めるため、精度と費用の折り合いをつけたい場合の標準的な選択肢になります。

会員情報や決済を扱うサイト、本番公開前にひととおり確認しておきたいサービスなど、リスクが一定以上あり、かつ予算にも上限があるケースに向いています。多くの診断ベンダーがこの方式を中心に据えており、プランによって手動診断の比重や診断範囲を調整できることもあります。

実際にツールと手動診断を組み合わせて診断を手がける事業者も、両者を併用する理由として、自動診断だけでは拾いきれない領域があることを挙げています。

専門家による手動診断（マニュアル診断）が向くサイト

専門家による手動診断は、有資格の診断員が画面遷移や業務ロジックまで踏み込み、攻撃者の視点で網羅的に検査する方式です。自動ツールでは見つけにくい認証・認可の不備や、そのサイト固有の設計に起因する脆弱性まで掘り下げられる点が特徴です。

大規模なサイトや、金融・ECなど高いリスクを抱えるサービス、複雑な機能を持つWebアプリケーションに向いています。その分、診断員の工数がかかるため費用と期間は大きくなりやすく、診断の目的と対象範囲を事前に整理して依頼することが重要です。

ツール型と委託型（手動）の費用・スピード・網羅性の選び分け

3つのタイプは、費用・スピード・網羅性のどれを優先するかで選び分けられます。ツール型は費用と実施スピードに優れ、繰り返しの診断に向く一方、固有ロジックの深い検査は不得手です。専門家による手動診断は網羅性と深さに優れますが、費用と期間はかかります。ハイブリッド型はその中間に位置します。

目安として、ツール型は月額数万円程度から、あるいはURL単位の課金で継続的に回せるのに対し、手動診断を含む委託型はスポットで数十万円から、大規模・複雑なサイトでは百万円を超える見積もりになることもあります。

「改修のたびに自社で手軽に回したい」ならツール型、「本番公開前に専門家の目で深く確認したい」なら手動を含む委託型、と優先順位から絞り込むと判断しやすくなります。実際の費用感は後述の費用相場でも整理します。

Webサイト脆弱性診断サービスの選び方

ここからは、自社のWebサイトに合うサービスを絞り込むための比較観点を整理します。診断方式（ツール型・ハイブリッド型・専門家による手動診断）の選び分けは前章で扱ったため、本章ではそれを踏まえて、診断対象・料金形態・報告書・再診断・品質の5つの観点から確認します。

診断対象（Webアプリ／プラットフォーム／API）で選ぶ

自社が診てほしい範囲と、サービスの診断対象が合っているかをまず確認しましょう。Webアプリケーション診断はブラウザ上で動くアプリの作り込みを対象とし、プラットフォーム診断はサーバーやネットワーク機器の設定・既知の脆弱性を対象とします。API単体で公開しているサービスや、スマートフォンアプリまで含めたい場合は、それぞれの診断に対応しているかを個別に確かめる必要があります。

近年はブラウザとサーバーの通信をAPI経由で行うサイトが増えており、画面上の操作だけを診るとAPIの脆弱性を見落とすことがあります。自社サイトの構成に照らして、どこまでを一度の診断でカバーできるかを比較するとよいでしょう。

APIには、画面からはたどり着けないエンドポイントや、本人以外のデータを操作できてしまう認可の欠陥など、画面操作中心のWebアプリ診断では拾いにくい固有の弱点があります。SPAやスマホアプリと連携するAPI中心のサイトで、どのサービスがどこまでAPIを診てくれるかを見極めたい場合は、以下の記事もあわせてご覧ください。

料金形態（URL・FQDN課金／ページ・フォーム数／スポット／年間）で選ぶ

脆弱性診断の料金は、何を単位に課金するかがサービスによって異なります。ツール型にはURLやFQDN（ドメイン）単位で課金し年間で診断し放題にできるものがある一方、委託型では診断対象のページ数・入力フォーム数・リクエスト数をもとに個別見積もりするものが一般的です。

「1回だけ公開前に診てほしい」ならスポット課金、「改修のたびに継続して回したい」なら年間・継続型が適しています。自社の診断頻度と対象規模を見積もったうえで、単位あたりの料金と合計額の両方で比較すると、見かけの安さに惑わされずに判断できます。

報告書の内容で選ぶ

診断の成果物は報告書です。検出した脆弱性の一覧だけでなく、リスクの重大度評価、再現手順、具体的な修正方法まで記載されているかで、社内での是正のしやすさが変わります。開発チームがそのまま修正に着手できる粒度かを、サンプル報告書で事前に確認しておくと安心です。

多くのサービスがサンプル報告書を問い合わせで提供しています。重大な脆弱性が見つかった際に診断の途中でも速報を出してくれるか、報告会で結果を説明してくれるかも、はじめて診断を受ける場合には判断材料になります。

再診断・是正支援の有無で選ぶ

診断は脆弱性を見つけて終わりではなく、修正した後に本当に直っているかを確かめる再診断までを含めて考えます。再診断が無償か有償か、何回まで・いつまで対応してもらえるかはサービスによって異なります。修正方法の相談に乗ってくれる是正支援があると、社内に専門人材が少ない場合でも対応を進めやすくなります。

品質・信頼性（情報セキュリティサービス基準適合・有資格者）で選ぶ

診断の品質は外からは見えにくいため、客観的な目安を手がかりにします。その一つが、経済産業省が定める「情報セキュリティサービス基準」への適合です。基準への適合は第三者の審査登録機関が審査し、適合したサービスは情報処理推進機構（IPA）が「情報セキュリティサービス基準適合サービスリスト」として公表しています。脆弱性診断サービスも対象カテゴリに含まれます。

この基準に適合しているか、診断を担う技術者がセキュリティ関連の資格を持つか、同種サイトの診断実績があるかは、はじめて依頼する際の判断材料になります。最新の適合状況は公式リストで確認できます。

出典・参考資料（1件）

• 参考資料：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）

ここまでの観点を踏まえても、自社のサイトがどのタイプ・どのサービスに合うか迷う場合があります。以下の診断では、公開前後やリスク・予算・重視する要件をいくつか選ぶだけで、候補となるサービスを絞り込めます。

【比較表】Webサイト脆弱性診断サービスの比較

ここからは、自社のWebサイト・Webアプリケーションの状況に合わせて客観的に比較・選定できるよう、主要なWebサイト脆弱性診断サービスを、診断方式・診断対象・料金形態・報告書・再診断・品質の観点で横断的に比較します。

※2026年10月時点の各社公式情報、およびIPA「情報セキュリティサービス基準適合サービスリスト」（脆弱性診断サービス）による。料金・適合状況は変動するため、最新の情報は各社の公式情報と公式リストでご確認ください。

主要なWebサイト脆弱性診断サービス

ここからは、前章の比較表で取り上げたサービスを、診断方式のタイプ別に個別に紹介します。各サービスの診断対象・診断方式・料金の考え方・報告書や実績などの特徴を確認し、自社サイトに合う依頼先を絞り込む参考にしてください。

ツール型（SaaS自動診断）のサービス

1. Aikido Security（株式会社AndGo）

Aikido Security は、ベルギーのAikido Security BVが開発するクラウド型のセキュリティ診断SaaSで、日本では株式会社AndGoが正規代理店として提供しています。ソースコードやクラウド設定の検査を1つの画面にまとめた製品で、Webサイト診断の観点では、運用中のドメインを対象とする動的診断（DAST）とAPIスキャンに対応します。

DASTは設定後に日次で自動スキャンを実行し、新たに検出された脆弱性があるときに通知します。開発のパイプラインに組み込み、機能追加やリリースのたびに繰り返し診断する使い方に向いており、検出した脆弱性には、修正コードのプルリクエストをAIが生成するAutoFixなどで対応できます。

料金は診断1回ごとの課金ではなく、利用者10人・年間契約で月額5万円台からのサブスクリプション型です（AndGo経由の参考価格）。管理画面・ドキュメントは日本語に対応し、導入時の設定から運用定着まで株式会社AndGoが日本語で支援します。

検出した脆弱性を修正まで進めやすくするという設計の考え方について、日本での提供元であるAndGoは次のように説明しています。

2. AeyeScan（エーアイスキャン）（株式会社エーアイセキュリティラボ）

AIがサイト内を巡回して診断シナリオを自動生成する、クラウド型のWebアプリケーション脆弱性診断ツールです。開発・提供は株式会社エーアイセキュリティラボで、有償契約500社以上の導入実績があります（公式サイト、2026年10月時点）。専用サーバーの構築やソフトのインストールは不要で、診断対象のURLを登録するとブラウザから自動診断を始められます。

AIが利用者の操作に近い形でサイト内を巡回し、フォームへの値の入力・診断シナリオの生成・画面遷移図の作成までを自動化します。診断対象はWebアプリケーションとSPAで、APIスキャンとAndroidアプリ診断はオプション提供です。OWASP Top 10やIPA「安全なウェブサイトの作り方」、ASVS 5.0に準拠します。

料金は用途やサイト数に応じた個別見積もりの定額制で、診断回数に制限はありません（金額は公式に非掲載のため要問い合わせ）。契約は15日・1サイトのOne Shotと、1年・サイト数無制限のBusinessがあり、2サイトまで無料でトライアルできます。レポートは経営層向けの概要からエンジニア向けの詳細ログまで出力できます。

3. Securify（セキュリファイ）（株式会社スリーシェイク）

攻撃対象領域管理（ASM）と脆弱性診断を同じサービス内で扱える、クラウド型のツールです。提供元は株式会社スリーシェイクで、Webアプリケーション診断は、画面遷移の巡回から疑似攻撃の送信、応答の検証までを自動で実行します。

診断は実施する日時や頻度を指定でき、API経由で診断を実行してCI/CDパイプラインに組み込むこともできます。ログイン後の画面やSPA、OpenAPI定義に基づくREST APIの診断に対応します。

料金は検査対象のIP/FQDN数で分かれ、月額5万円（年額60万円）・1対象・診断回数無制限のSTARTERから、3対象以上に対応する月額10万円〜のBASICがあります。最短即日で始められる無料トライアルもあり、脆弱性診断サービスは経済産業省の情報セキュリティサービス基準に適合しています（登録番号020-0025-20）。

4. VAddy（バディ）（株式会社ビットフォレスト）

CI/CDパイプラインに組み込んで継続的に実行できる点を特徴とする、クラウド型のWebアプリケーション脆弱性診断ツールです。株式会社ビットフォレストが提供し、利用者自身が診断対象を検査する方式で、初期費用は0円、1ヶ月単位で契約できます。

WebAPI・コマンドラインツール・cronと連携し、夜間の定期スキャンをスキャン回数無制限で回せます。動的診断（DAST）でWebアプリケーションのほか、REST API・JSON形式のAPIサーバーも検査でき、ログイン必須の画面には自動ログインで対応します（多要素認証やCAPTCHA有効時は原則非対応）。

料金は税別で、5項目のProfessional（月額19,800円）、11項目のEnterprise（月額59,800円）、18項目のAdvanced（月額99,800円）の3プランがあり、全プラン共通で3FQDN・スキャン回数無制限です。全プランでPDFレポートを出力でき、1週間の無料トライアルも利用できます。

5. SCT SECURE クラウドスキャン（三和コムテック株式会社）

Webサイトとネットワーク機器をインターネット経由で毎日自動診断する、クラウド型の脆弱性スキャンサービスです。提供元は三和コムテック株式会社で、ソフトのインストールや機器の設置は不要です。

診断はIPまたはFQDN単位で、Web系のSQLインジェクションやクロスサイトスクリプティングのほか、OS・データベース・ポートなどを検査します。PCI DSSが定める外部脆弱性診断（ASV診断）と同じテスト内容を採用し、ASV資格を持つ診断エンジンを使用します。同社の脆弱性診断サービスは、経済産業省の情報セキュリティサービス基準適合リストに登録されています（登録番号019-0042-60）。

料金は税抜・年単位で、3IP/FQDNまでで初年度は年額564,000円（ライセンス504,000円＋初期設定60,000円）、2年目以降はライセンス費用504,000円です。対象の追加は1IP/FQDNごとに140,000円で、レポートはポータルから出力でき、サンプルレポートも公開されています。

ハイブリッド型（ツール＋専門家の手動診断）のサービス

6. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）

国内のホワイトハッカーを多数擁するGMOサイバーセキュリティ byイエラエ株式会社による脆弱性診断サービスです。ホワイトハッカーによる手動診断と、ツール型の攻撃面管理（ASM）の両方を備えています。

Webアプリケーションの診断やペネトレーションテストは、ホワイトハッカーによる手動検査を中心に据え、ソースコードなどの開発情報も踏まえて問題点を洗い出します。静的解析ツールでは見つけにくい脆弱性の検出を想定した構成です。

外部公開資産を継続的に監視したい場合は、ツール型のSaaS「GMOサイバー攻撃ネットde診断 ASM」を月額40,000円から利用できます。スポットの手動診断から継続的な攻撃面管理まで、一社で使い分けられる点が特徴です。

7. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）

ペンタセキュリティ株式会社が提供する、Webサイト・Webアプリケーションの脆弱性を検出するセキュリティ診断サービスです。専門家による手動診断と自動診断ツール「OWASP ZAP」を組み合わせたハイブリッド方式を採っています。

Webサイト・Webアプリケーション・API・プラットフォーム・スマートフォンアプリ・ペネトレーションテストの6つの診断メニューを用意し、同社が独自に収集する脅威情報の分析を診断項目に反映しています。

料金は診断範囲に応じた個別見積もりで、Webサイト・Webアプリに加え、API・プラットフォーム・スマートフォンアプリまで同じ窓口で依頼できます。自社で収集する脅威情報を診断項目に反映している点も特徴です。

8. SQAT（株式会社ブロードバンドセキュリティ）

株式会社ブロードバンドセキュリティが提供する脆弱性診断ブランドが「SQAT（エスキュート）」です。専門家の手動診断と独自開発の自動診断を組み合わせ、攻撃を受ける前にリスクを洗い出します。

Webアプリケーション・API・ネットワーク・スマホアプリ・IoT・クラウドなど診断メニューが幅広く、ソースコード診断とWebアプリ診断を組み合わせた「SQAT GlassBox」では、内部と外部の両視点から短期間での診断を行います。

脆弱性診断にはサイバー保険が付帯し、診断終了後3か月までは再診断に対応します。クレジットカード業界のセキュリティ基準であるPCI DSSの関連支援にも実績があります。

9. Webアプリケーション診断サービス（Sky株式会社）

IT資産管理・情報漏洩対策の「SKYSEA Client View」で知られるSky株式会社が、2022年から提供するセキュリティ診断ソリューションの一つです。セキュリティエンジニアがリモートで、Webアプリケーションの脆弱性を診断します。

162項目をベースに、SQLインジェクションやクロスサイトスクリプティングなどを横断的に検査し、検出した脆弱性をCRITICALからINFOまで5段階のリスクレベルに分類して報告します。危険性の高い脆弱性が見つかった場合は、メールで速報します。

報告書は開発者向けに再現手法まで記載され、最短5〜6営業日程度で受け取れます。重要な箇所に対しては、ペネトレーションテストをオプションで追加できます。

10. Vex（株式会社ユービーセキュア）

株式会社ユービーセキュアが2007年から開発・提供する、Webアプリケーションを主な対象とした脆弱性検査ツールです。対象URLに疑似攻撃リクエストを送り、レスポンスを解析して脆弱性を確認するDAST方式を基盤とします。

自動クローリングで診断対象を洗い出す一方、ログイン後の画面や複数ステップの遷移はシナリオ診断で記録・再現し、人手を組み込んで検査します。OpenAPI／Swagger定義を読み込んだAPI診断にも対応します。

OWASP Top 10やPCI DSSなどの基準に沿ったレポートを自動生成し、出力形式はWord・Excel・PDF・HTMLから選べます。無料トライアルが用意されているため、導入前に操作感を確認できます。

11. GMO Flatt Security 脆弱性診断（GMO Flatt Security株式会社）

GMO Flatt Security株式会社が提供する、ブラウザで利用するWebアプリケーション向けの脆弱性診断です。グレーボックスまたはブラックボックス形式で診断し、専門のセキュリティエンジニアに加えてAIエージェント「Takumi」を用いて診断を行います。

標準の診断には、ソースコード診断（部分的なホワイトボックス診断）が追加料金なしで含まれます。API・SPA・GraphQL・LLM・クラウドなど、対象ごとの個別メニューも用意されています。

料金は100万円から（税別）で、見積もりは無料です。URLと認証情報の提出から最短7営業日で報告書を受け取れ、サンプル報告書も事前に無料でダウンロードできます。

12. サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ株式会社）

診断契約にサイバー保険が無償で自動付帯する点を特徴とする、NTTドコモソリューションズ株式会社（旧NTTコムウェア）の脆弱性診断サービスです。ツールと専門家による手動検査を併用して診断します。

契約金額が税抜80万円以上の場合、補償限度額1,000万円のサイバー保険が診断契約日から1年間、無償で付帯します。診断後にインシデントが起きた際の弁護士相談やシステム復旧費用などを補償する内容です。

ネットワーク・サーバ構成・Webアプリ・スマホアプリの診断やペネトレーションテストに対応し、情報処理安全確保支援士やCISSPなどの有資格者が診断を担います。2025年度はWebアプリケーション診断で約550サイトの診断実績があります。

13. Webアプリケーション診断（株式会社セキュアスカイ・テクノロジー）

Webアプリケーションに特化したセキュリティ事業を展開する株式会社セキュアスカイ・テクノロジーの脆弱性診断です。自社開発の診断ツールと手動診断を併用し、認証・承認まわりなどツールで検出しにくい脆弱性は手動で確認します。

料金は、10リクエストまたは5API・報告書作成込みの基本料金40万円（税抜）から始まり、追加分は10リクエストまたは5APIごとに30万円です。GraphQLやWebSocketの診断はオプションで追加できます。

改修後の再診断は1案件につき1回無償で、QAサポートもメールやSlack・Microsoft Teamsで無償対応します。診断は診断サーバー経由のリモート実施が基本です。

14. 脆弱性診断・ペネトレーションテスト（株式会社レイ・イージス・ジャパン）

台湾発のセキュリティベンダーRayAegisの日本法人、株式会社レイ・イージス・ジャパンが提供する脆弱性診断・ペネトレーションテストです。独自に開発したAIエンジン搭載の探査ツールと、ホワイトハッカーによる手動診断を組み合わせます。

ツールで網羅的に脆弱性を拾ったうえでホワイトハッカーが手動で精査し、誤検知を除いた報告書を提供する点を掲げています。Webアプリケーションのほか、プラットフォーム・モバイルアプリ・APIを診断対象とします。

料金はFQDN単位の定額制を採り、画面数やフォーム数が多くても一律となるため、大規模なサイトほど相対的に割安になります。具体的な金額は規模や対象に応じた個別見積もりです。

専門家による手動診断（マニュアル診断）のサービス

15. セキュリティ診断・ペネトレーションテスト（NRIセキュアテクノロジーズ株式会社）

野村総合研究所（NRI）を単一株主とするセキュリティ専業会社が手がける診断サービスです。Webアプリケーション診断では、専門家が手作業だけで診る「プロフェッショナル方式」と、手動診断にツール診断を併用する「ハイブリッド方式」の2方式から選べます。

診断を担うのは、SANS Instituteの専門トレーニング修了者やCISSP・OSCP・GIACなどの国際資格を持つ技術者です。Webアプリケーションのほか、プラットフォーム・スマホアプリ・API・ソースコードまで同じ窓口で診断を依頼できます。

料金はWebアプリケーション診断を含め個別見積りで、攻撃者視点で侵入を試すペネトレーションテストは800万円〜（税別）と公式に明示されています。Webアプリケーション診断では、報告書での対策提案に加え、実施からおよそ1ヶ月以内に対策状況の確認まで行います。

16. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）

1995年から脆弱性診断を提供してきた株式会社ラックのサービス群です。脆弱性を網羅的に洗い出す脆弱性診断と、攻撃シナリオに沿って実際の影響まで確認するペネトレーションテストを、公式ページで明確に分けて提供しています。

Webアプリケーション診断は、短期間で実施するエクスプレスから、手動診断の比重を高めたハイブリッドまで複数のメニューを用意しています。診断対象はWebアプリのほか、サーバ・ネットワーク機器、スマホアプリ、クラウド／SaaS設定、生成AI活用システムまで広がります。

2000年設置の監視拠点JSOCやサイバー救急センターを同じ会社で組み合わせられる点が特徴で、診断後の監視・インシデント対応まで一貫して相談できます。ペネトレーションテストは700万〜1,000万円（税抜）、脅威ベースで攻撃耐性を評価するTLPTは1,000万円程度からが公式の目安です。

17. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）

専門家による手動診断を主体に据え、網羅性を担保する独自ツール・商用ツールを組み合わせる診断サービスです。提供元は、三井物産が100%出資するサイバーセキュリティ専門企業、三井物産セキュアディレクション株式会社です。

セキュリティエンジニアが攻撃者の視点で対象システムの脆弱性を診断・評価し、対処方法まで助言します。Webアプリケーション診断は2001年から提供し、2017年4月〜2022年3月で3,000サイト以上・100,000リクエスト以上の診断実績があります。

Webアプリケーション診断を通じて200件以上の新規脆弱性（0day）をCVEとして発見・報告しており、脆弱性診断の累計実績は8,000件以上（2017年4月〜2024年3月）にのぼります。Webアプリのほか、ネットワーク・スマホアプリ・ペネトレーションテスト・TLPTまで対応します。

18. セキュリティ診断・評価・調査（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）

NTTセキュリティホールディングスの100%子会社で、NTTグループのサイバーセキュリティ専業会社にあたるエヌ・ティ・ティ・セキュリティ・ジャパン株式会社が提供します。自社開発のWebアプリケーションと、サーバー・ネットワーク機器などのプラットフォームの双方を診断対象とします。

Webアプリケーション診断は、複数のツールに専門のセキュリティエンジニアの知見を重ねるハイブリッド診断で実施します。ツールと環境の提供を受けて自社で継続的に点検するセルフ診断も選べ、運用体制に合わせて使い分けられます。

攻撃者視点で侵入を試み、人・プロセス・技術の観点から攻撃耐性を評価するRedTeam/TLPT（脅威ベースのペネトレーションテスト）にも対応します。料金は全メニューが公式非公開で、診断対象の範囲・規模に応じた個別見積りとなります。

19. ペネトレーションテスト・脆弱性診断（株式会社サイバーディフェンス研究所）

2008年に伊藤忠商事の社内セキュリティ研究組織が分社化して生まれた、ペネトレーションテストとレッドチーム演習を専門とする会社です。「人が引き起こす脅威に対抗できるのは人だけ」という理念のもと、自動化ツールに依存せず、経験豊富なエンジニアによる手作業の診断を前面に打ち出しています。ツールでは拾いにくい複雑なWebアプリケーションを深く診てほしい、大規模・高リスクのサイトに向きます。

Webアプリケーション脆弱性診断に加え、ネットワークや制御システム（ICS）、組み込み機器・IoTを対象とした侵入検証、総合的なレッドチーム演習まで扱います。診断を担うエンジニアはOSCP・OSCE・CRTOなどの高度な資格を保有しています。

ネットワークペネトレーションテストは経済産業省の情報セキュリティサービス基準（JASA審査）に適合し、登録番号018-0006-60で登録されています。報告書は経営層向けの総合評価と技術者向けの詳細分析の2部構成で、診断の途中でも速報が提供されます。

診断でチェックされる主な項目

Webサイトの脆弱性診断で何が検査されるかを知っておくと、サービスの診断範囲が自社サイトのリスクに見合っているかを判断しやすくなります。国際的に参照される整理として、OWASP（Open Worldwide Application Security Project）が公開する「OWASP Top 10」があります。

これはWebアプリケーションで特に重大なセキュリティリスクを10項目にまとめたもので、最新版（2025年版）では次の10カテゴリが挙げられています。

• A01:2025 – アクセス制御の不備 (Broken Access Control)
• A02:2025 – セキュリティ設定の不備 (Security Misconfiguration)
• A03:2025 – ソフトウェアサプライチェーンの不備 (Software Supply Chain Failures)
• A04:2025 – 暗号化の不備 (Cryptographic Failures)
• A05:2025 – インジェクション (Injection)
• A06:2025 – 安全性を欠いた設計 (Insecure Design)
• A07:2025 – 認証の不備 (Authentication Failures)
• A08:2025 – ソフトウェアまたはデータの完全性の不備 (Software or Data Integrity Failures)
• A09:2025 – セキュリティログとアラートの不備 (Security Logging and Alerting Failures)
• A10:2025 – 例外的な状況への不適切な対応 (Mishandling of Exceptional Conditions)

出典：OWASP Top 10:2025（日本語版）｜OWASP Foundation

Webサイトでよく知られるSQLインジェクション（データベースへの不正な問い合わせを成立させる攻撃、CWE-89）やクロスサイトスクリプティング（XSS、CWE-79）は、いずれも2025年版では「A05:2025 – インジェクション」に分類されています。実際の診断では、こうした入力値の処理の不備に加え、アクセス制御や認証の不備など、サイトの実装に応じた項目が検査されます。

日本の公的機関であるIPAも「安全なウェブサイトの作り方」で同種の脆弱性と対策を解説しており、どの項目まで診断対象に含まれるかをサービスごとに確認するとよいでしょう。

Webサイト脆弱性診断の費用相場（料金形態別）

費用は診断方式と、どの単位で課金するかの料金形態によって幅があります。自社の診断頻度と対象規模に照らして、どの形態が合うかを見極めることが総額を抑える鍵になります。料金形態はおおむね次の3つに分かれます。

URL・FQDN（ドメイン）単位の定額・継続型は、ツール型（SaaS自動診断）に多く、月額数万円程度から、あるいは年間の診断し放題プランで繰り返し回せます。改修のたびに診断しても追加費用が膨らみにくいのが特徴です。

ページ・フォーム数ベースのスポット見積もり型は、専門家の手動診断を含む委託型に多く、診断対象の画面数・入力フォーム数・リクエスト数で金額が決まります。規模別の目安としては、ログイン後を含む十数画面程度の小〜中規模サイトでスポット数十万円台から、画面やフォームが多い大規模・複雑なサイトでは百万円を超えることもあります。

攻撃シナリオ単位の高度な診断として、侵入可否まで検証するペネトレーションテストや大規模サイトの網羅的な手動診断は、数百万円規模になることもあります。同じ「Webサイト1件」でも対象の作り込みで金額が変わるため、見積もり前に診断範囲を決めておくと概算を掴みやすくなります。

各サービスの具体的な料金は、前章の比較表と個別紹介で整理しています。料金は改定されることがあるため、発注時には各社の公式情報と見積もりで最新の金額を確認してください。

診断の進め方と発注前に決めておくこと

脆弱性診断は、見積もりの依頼から報告書の受領、修正後の再診断までを一連の流れで進めます。はじめて依頼する場合でもつまずかないよう、発注前に決めておくべきことを順に整理します。

見積もりに必要な情報を整理する

見積もりは診断範囲で決まるため、まず対象を整理しておきましょう。委託型では、診断対象のページ数やログイン後の画面、入力フォームの数、送受信するリクエスト数などが見積もりの基礎になります。

ツール型では、診断対象をURLやFQDN（ドメイン）単位で数えるものが多く、サブドメインは別に数えるかどうかがサービスによって異なります。自社サイトの画面構成と、どこまでを診断範囲に含めるかを先に決めておくと、見積もりがスムーズです。

本番環境か検証環境か、診断の負荷を確認する

脆弱性診断は攻撃を模した通信を送るため、サイトに一定の負荷がかかり、データの登録や更新が発生する場合があります。独自開発のアプリケーションでは、まれに動作に影響が出る可能性もあるため、本番環境ではなく検証・ステージング環境での実施を推奨するサービスが多くあります。どの環境で、いつ、どの程度の負荷で実施するかを事前にすり合わせておくと安心です。

報告書の受領と再診断まで見込む

診断後は報告書を受け取り、検出された脆弱性を重大度の高いものから修正していきます。重大な脆弱性が見つかった場合に診断の途中でも速報を出してくれるサービスなら、公開前でも早めに対応に着手できます。修正が完了したら、本当に直っているかを確かめる再診断までをスケジュールに見込んでおきましょう。再診断の費用・回数・期限はサービスによって異なるため、発注時に条件を確認しておくことが大切です。

無料で使える脆弱性診断ツールの位置づけ

脆弱性診断には、委託せずに自社で試せる無料のツールもあります。代表的なものに、サーバーの既知の脆弱性を検出するVuls、Webアプリケーションの脆弱性を検査できるOWASP ZAP、Webサーバーの設定不備を調べるNiktoなどのオープンソースツールがあります。コストをかけずに手元で確認できる点は魅力です。

ただし、これらのツールを使いこなすには、検出結果が本当にリスクなのかを判断し、誤検知を切り分ける専門知識が必要です。自社にセキュリティに詳しい担当者がいて、継続的に知見を蓄積したい場合には有効ですが、網羅的な診断や報告書を使った社内外への説明が求められる場面では、専門サービスへの委託が現実的です。

まずは無料ツールで大枠を把握し、公開前や重要な改修時には委託診断で確認する、といった使い分けも考えられます。

脆弱性診断とペネトレーションテストの違い

脆弱性診断と混同されやすいものに、ペネトレーションテスト（侵入テスト）があります。両者は目的が異なります。脆弱性診断は、対象に潜む脆弱性を網羅的に洗い出し、一覧として把握することを目的とします。これに対しペネトレーションテストは、特定の目的（たとえば「顧客情報に到達できるか」）を定め、攻撃者と同じように実際に侵入を試み、その目的が達成できてしまうかを検証します。

はじめて自社サイトのセキュリティを確認する場合や、まず弱点を一通り把握したい場合は、脆弱性診断が適しています。網羅的な診断で弱点を是正したうえで、さらに現実的な攻撃に耐えられるかを確かめたい段階になったら、ペネトレーションテストを検討する、という順序が一般的です。本記事で紹介するサービスの中には、脆弱性診断とペネトレーションテストの両方に対応するものもあります。

ペネトレーションテストも外部の専門会社へ委託するのが一般的で、診断手法・対応範囲・費用は会社ごとに大きく異なります。脆弱性診断で弱点を是正したうえで侵入テストの依頼先を探す段階になったら、以下の比較記事が参考になります。

まとめ

Webサイトの脆弱性診断サービスは、ツール型・ハイブリッド型・専門家による手動診断の3つの方式に大きく分かれ、自社サイトの規模・扱う情報・公開のタイミング・予算によって向くタイプが変わります。費用を抑えて継続的に回したいならツール型、精度と費用のバランスを取るならハイブリッド型、大規模・高リスクのサイトを深く診たいなら手動診断を含む委託型が基本の選び分けです。

そのうえで、診断対象・料金形態・報告書の内容・再診断の有無・品質の目安を比較し、発注前に診断範囲と実施環境を整理しておくことで、自社サイトに合った依頼先を無理なく選べます。気になるサービスは、資料を取り寄せて診断範囲と料金を具体的に比較してみてください。

よくある質問（FAQ）

Q. Webサイトの脆弱性診断とは何ですか？

A. Webサイトの脆弱性診断とは、WebサイトやWebアプリケーションに潜むセキュリティ上の弱点を、専用ツールや専門の診断員が疑似的な攻撃で検出し、リスクの重大度と対策の優先順位とともに報告するサービスです。

攻撃を受ける前に弱点を把握して是正できる点に価値があり、SQLインジェクションやクロスサイトスクリプティング（XSS）など、入力値の処理・認証・アクセス制御といったWebアプリ特有の実装を点検します。

Q. Webサイトの脆弱性診断では、サブドメインは1件として数えますか？

A. Webサイトの脆弱性診断では、ツール型の多くがFQDN（ドメイン）単位で診断対象を数え、サブドメインは別の1件として数えるのが一般的です。たとえば「example.com」と「shop.example.com」は別々に数えられる一方、同じドメイン配下のサブディレクトリ（ページの深さ）は件数に影響しないことが多くあります。

ただし数え方や、サブドメインを同一ライセンスで診断できるかはサービスによって異なるため、自社サイトのドメイン構成を整理したうえで、料金単位を各社に確認してください。

Q. Webサイト脆弱性診断の見積もりには何を伝えればよいですか？

A. Webサイト脆弱性診断の見積もりは診断範囲で決まるため、診断したい対象のURL、画面（ページ）数、ログイン後の画面、入力フォームの数、送受信するリクエスト数を伝えるのが基本です。委託型（手動診断を含む）はこれらの作り込みの量をもとに個別見積もりを算出し、ツール型はURLやFQDN単位で料金が決まります。

同じ「Webサイト1件」でも機能の多さで金額が変わるため、どこまでを診断範囲に含めるかを先に決めておくと見積もりがスムーズです。

Q. 小規模なWebサイトでも脆弱性診断を受ける必要はありますか？

A. Webサイトの脆弱性診断は、サイトの規模が小さくても、会員情報や問い合わせ内容などの個人情報を扱う機能があれば受けておくことが望ましいです。攻撃は規模の大小ではなく弱点の有無を狙うため、小規模でも入力フォームやログイン機能があれば情報漏えいのリスクは生じます。扱う情報が限られ診断範囲を絞れる場合は、費用を抑えやすいツール型から始める選択肢もあります。

Q. WAFを導入済みで、開発も外部に委託していれば脆弱性診断は不要ですか？

A. Webサイトの脆弱性診断は、WAFなどのセキュリティ機器を導入済みでも、開発を外部に委託していても、別途受けることが推奨されます。WAFは設定次第で防ぎきれない攻撃が残り、開発と脆弱性診断では求められる知見が異なるためです。第三者の診断で客観的に弱点を確認することで、機器の設定漏れや開発段階で見落とされた実装の不備を発見できます。

Q. 一般公開していない会員専用サイトや社内システムも診断できますか？

A. 一般公開していないWebサイトや社内システムも、診断を行う側からアクセスできる経路を用意できれば診断可能です。インターネット経由のリモート診断では、診断元のIPアドレスからのアクセスを許可する設定が必要になります。外部から接続できない閉じた環境の場合は、診断用の端末を社内ネットワークに持ち込んで実施する方式に対応するサービスもあります。

Q. Webサイトの脆弱性診断はリモートで実施できますか？

A. Webサイトの脆弱性診断は、インターネット経由のリモート診断が基本で、診断対象のURLと（必要に応じて）ログイン用の認証情報を提出すれば実施できるサービスが多くあります。自社に診断員が来訪する必要は通常なく、外部から接続できない閉域環境の場合にのみ、診断用端末を持ち込むオンサイト診断で対応します。どちらの方式に対応しているかは、自社サイトの公開状況に合わせて確認してください。

Q. 脆弱性診断で自社のWebサイトに障害が起きることはありませんか？

A. 脆弱性診断は攻撃を模した通信を送るため、影響をゼロにはできず、本番環境ではなく検証・ステージング環境での実施を推奨するサービスが多いです。通常のWebアプリ利用と同程度の負荷であることが多く、同時実行数の調整で負荷を抑えられますが、独自開発のアプリではまれにデータの登録・更新や動作への影響が生じる可能性があります。

どの環境で・いつ・どの程度の負荷で実施するかを、発注時にすり合わせておくと安心です。

Q. Webサイトの脆弱性診断にはどれくらいの期間がかかりますか？

A. Webサイトの脆弱性診断にかかる期間は、ツール型の自動診断なら数十分〜数時間、専門家の手動診断を含む委託型なら報告書の受領まで数営業日〜数週間が目安です。委託型は診断対象の画面数やフォーム数が多いほど期間が延び、報告書作成の時間も加わります。公開日が決まっている場合は、見積もり・診断・報告書受領・再診断までのスケジュールを逆算し、余裕をもって依頼してください。

Q. 診断の報告書のサンプルは契約前に確認できますか？

A. 診断の報告書は、多くのサービスが契約前にサンプル報告書を提供しており、問い合わせやダウンロードで事前に確認できます。報告書は診断の成果物であり、脆弱性の一覧だけでなく、リスクの重大度評価・再現手順・具体的な修正方法まで記載されているかで社内での是正のしやすさが変わります。開発チームがそのまま修正に着手できる粒度かを、サンプルで見比べて選ぶとよいでしょう。

Q. 修正後の再診断は無料で受けられますか？

A. 修正後の再診断は、無償か有償か、何回まで・いつまで対応してもらえるかがサービスによって異なります。一定期間内（たとえば診断後数か月まで）や1案件につき1回まで無償で再診断に応じるサービスがある一方、別料金となる場合もあります。脆弱性診断は見つけて終わりではなく、修正が本当に反映されたかを確かめる再診断までを含めて考える必要があるため、発注時に再診断の費用・回数・期限を必ず確認してください。

Webサイト脆弱性診断サービスの料金・資料を一括チェック

MCB FinTechカタログでは、WebサイトやWebアプリケーションの脆弱性診断サービスの最新資料を無料で一括請求できます。診断方式・診断対象・料金形態・再診断の条件を、自社サイトに当てはめてまとめて比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。