Webアプリケーション診断とは、WebサイトやWebアプリケーションに潜む脆弱性を、攻撃を受ける前に洗い出すための診断です。自社で公開しているサービスにログイン機能や問い合わせフォーム、決済がある場合、取引先やガイドラインから「脆弱性診断の結果を見せてほしい」と求められたり、リリース前のチェックで必要になったりする場面が増えています。
とはいえ、はじめて検討する立場では、何を調べる診断なのか、ツールと手動で何が違うのか、費用はいくらかかるのかが分かりにくいものです。費用については公式ページの多くが「要お問い合わせ」とだけ示しており、金額の目安がつかめず判断に困ることも少なくありません。
この記事では、Webアプリケーション診断が具体的に何をチェックするのかを診断項目の一覧で示し、ツール診断と手動診断の違い、似た診断（プラットフォーム診断・ペネトレーションテスト）との違い、費用の相場、進め方、依頼先の選び方までを順に整理します。自社で診断を実施するか・どこに依頼するかを判断する材料として役立ててください。
目次
一括ダウンロードする
Webアプリケーション診断とは
Webアプリケーション診断とは、WebサイトやWebアプリケーションに存在する脆弱性（攻撃に悪用され得る弱点）を、実際に攻撃を受ける前に見つけ出す診断です。入力フォーム・ログイン・検索・決済など、利用者の操作に応じて動くアプリケーションそのものを対象に、不正なデータを送ったときに情報漏えいや改ざんにつながる動きをしないかを確認します。
目的は、脆弱性を攻撃者より先に把握し、修正して被害を防ぐことにあります。加えて、取引先やISMS（情報セキュリティマネジメントシステム）認証、業界ガイドラインへの対応として、第三者が実施した診断の報告書を求められる場面でも使われます。自社のWebサービスに会員情報や決済が含まれるほど、万一の情報漏えいによる影響は大きく、診断の必要性も高まります。
診断で確認する脆弱性の代表的なものは、独立行政法人情報処理推進機構（IPA）が公開する「安全なウェブサイトの作り方」や、国際的なWebセキュリティのコミュニティOWASP（Open Worldwide Application Security Project）がまとめるリスク分類に沿って整理されています。次章で具体的な診断項目を見ていきます。
Webアプリケーション診断の診断項目
ここからは、Webアプリケーション診断が具体的に何をチェックするのかを見ていきます。診断項目は、IPA「安全なウェブサイトの作り方」改訂第7版が挙げる代表的な脆弱性に沿って整理すると分かりやすく、以下はその主なものです。それぞれ「悪用されると何が起きるか」とあわせて示します。
主な診断項目と、悪用されたときのリスク
- SQLインジェクション：入力値を悪用してデータベースへ不正な命令を送り込む攻撃。会員情報や注文データの抜き取り、改ざん、消去につながります。
- OSコマンド・インジェクション：サーバーのOSに不正なコマンドを実行させる攻撃。サーバーの乗っ取りやファイルの窃取・破壊を招きます。
- クロスサイト・スクリプティング（XSS）：利用者のブラウザ上で不正なスクリプトを実行させる攻撃。cookieの盗み取りによるなりすましや、偽の入力画面の表示につながります。
- クロスサイト・リクエスト・フォージェリ（CSRF）：ログイン中の利用者に意図しない操作を実行させる攻撃。本人に成りすました退会処理や設定変更などが行われます。
- セッション管理の不備：ログイン状態を保持する仕組みの弱点。他人のセッションを乗っ取られ、本人として操作されるおそれがあります。
- アクセス制御・認可制御の欠落：権限のない利用者が他人のデータや管理機能に到達できてしまう問題。情報の閲覧・改ざんや、管理者権限の奪取につながります。
- ディレクトリ・トラバーサル（パス名パラメータの未チェック）：公開を想定していないファイルのパスを指定され、設定ファイルなどを読み出される問題です。
- セキュリティ設定の不備：不要な機能の有効化や初期設定のまま運用されている状態。攻撃の足がかりや情報の露出につながります。
このほか、HTTPヘッダ・インジェクションやクリックジャッキングなど、IPAの同ガイドラインは代表的な脆弱性を11種類挙げています。実際の診断では、対象アプリケーションの機能に応じてこれらを組み合わせて検査します。
OWASP Top 10・IPAガイドラインとの対応
診断項目が何に基づいているのかを押さえておくと、依頼先を選ぶときの判断材料になります。国内では、IPA「安全なウェブサイトの作り方」改訂第7版が代表的な脆弱性として次の11種類を挙げており、診断項目はおおむねこれに対応します。
1. SQLインジェクション／2. OSコマンド・インジェクション／3. パス名パラメータの未チェック／ディレクトリ・トラバーサル／4. セッション管理の不備／5. クロスサイト・スクリプティング／6. CSRF（クロスサイト・リクエスト・フォージェリ）／7. HTTPヘッダ・インジェクション／8. メールヘッダ・インジェクション／9. クリックジャッキング／10. バッファオーバーフロー／11. アクセス制御や認可制御の欠落
出典：安全なウェブサイトの作り方 改訂第7版｜独立行政法人情報処理推進機構（IPA）
国際的には、OWASPが公開する「OWASP Top 10」も代表的なリスクの分類として広く参照されています。見積もりや提案書には「OWASP Top 10準拠」とだけ書かれていることが多く、それが具体的にどの診断項目を指すのかは分かりにくいものです。
次の対応表は、主な診断項目がOWASP Top 10（2021年版）のどのカテゴリにあたるかを示したものです。複数社の見積もりを見比べ、同じリスクをカバーしているかを確かめるときの手がかりとして使えます。
| 診断項目 | SQLインジェクション／XSS | CSRF／アクセス制御・認可の不備 | セキュリティ設定の不備 | 認証・セッション管理の不備 |
|---|---|---|---|---|
| 対応するOWASP Top 10（2021年版） | A03:2021 – Injection | A01:2021 – Broken Access Control | A05:2021 – Security Misconfiguration | A07:2021 – Identification and Authentication Failures |
※OWASP Top 10は2021年版に基づく分類です。XSS・SQLインジェクション・CSRFは単独のカテゴリではなく、上表のカテゴリに含まれます。
OWASP Top 10は数年ごとに改訂されており、最新の版では項目の順位や分類が見直されています。診断の網羅性を比べる際は、IPAのガイドラインやOWASPのどの分類に対応しているかを、依頼先の説明で確認しておくと安心です。
出典・参考資料（2件）
ツール診断と手動診断の違い
ここからは、診断の進め方の大きな分かれ目であるツール診断と手動診断の違いを整理します。Webアプリケーション診断は、専用ツールで自動的に検査する方法と、専門のエンジニアが手作業で検査する方法に大きく分かれ、両者を組み合わせることも一般的です。
ツール診断は、既知の攻撃パターンを自動で試すため、SQLインジェクションやXSSのようにパターン化しやすい脆弱性を、短時間で広く・繰り返し検査できます。一方で、画面の流れや権限の設計に依存する脆弱性（認可の不備や業務ロジックの穴など）は、ツールだけでは見つけにくい傾向があります。手動診断は、こうした文脈に依存する脆弱性を人の判断で深く検査できる反面、時間と費用はかかります。
ツールと手動を組み合わせて診断を提供する事業者は、両者の役割分担を次のように説明しています。
ツールを使えば大量の項目を短期間で効率的に診断できますが、ビジネスロジックに関わる部分や、複数の脆弱性の組み合わせで一つの問題が起きるようなケースは、単一のツールでは取りこぼしやすい領域です。そこは人間の目で判断する必要が必ずありますので、両方を組み合わせて診断しています。
| 診断手法 | ツール診断（自動） | 手動診断（専門家） |
|---|---|---|
| 得意な脆弱性 | SQLインジェクション・XSSなどパターン化しやすいもの | 認可の不備・業務ロジックの穴など文脈依存のもの |
| 精度・深さ | 広く浅く。文脈依存の脆弱性は見つけにくい | 深く検査できる。誤検知も抑えやすい |
| コスト・スピード | 比較的安価で短時間。繰り返し実施しやすい | 費用・期間はかかる |
| 向くケース | 継続的な定期診断、開発段階での早期チェック | 決済・会員系など重要なシステム、リリース前の精密な確認 |
※上記は一般的な傾向です。実際の対応範囲はサービスごとに異なります。
実務では、まずツール診断で全体を広く確認し、重要な画面や気になる箇所を手動診断で深掘りする組み合わせが選ばれることが多くなっています。自社のシステムの重要度と予算に応じて、どちらを中心に据えるかを決めるのが現実的です。
似た診断との違い
Webアプリケーション診断と混同されやすい診断に、プラットフォーム診断とペネトレーションテストがあります。言葉が似ているため、見積もりを取るときに対象や目的を取り違えやすい点です。それぞれの違いを整理します。
プラットフォーム診断は、OS・ミドルウェア・ネットワーク機器・サーバーといった、アプリケーションの土台となる基盤を対象にした診断です。アプリケーションそのものを調べるWebアプリケーション診断とは、診断する対象が異なります。
ペネトレーションテストは、「特定の目的（たとえば顧客データの取得）を達成できるか」を、実際の攻撃者の視点で侵入を試みて検証するテストです。網羅的に弱点を洗い出すWebアプリケーション診断に対し、目的達成の可否に焦点を当てる点が異なります。
IPAの「情報セキュリティサービス基準適合サービスリスト」でも、ペネトレーションテストは脆弱性診断サービスのオプションとして位置づけられています。
| 診断の種類 | Webアプリケーション診断 | プラットフォーム診断 | ペネトレーションテスト |
|---|---|---|---|
| 主な対象 | Webアプリケーションそのもの（入力・認証・決済などの処理） | OS・ミドルウェア・サーバー・ネットワーク機器などの基盤 | システム全体（侵入経路を問わない） |
| 主な目的 | 脆弱性を網羅的に洗い出す | 基盤側の脆弱性を洗い出す | 特定の目的を達成できるか侵入を試して検証する |
※脆弱性診断は、これらを含む弱点の洗い出し全般を指す総称としても使われます。
出典・参考資料（1件）
- 出典：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）（リンク）
また、画面を介さずに呼び出すAPIを単独で公開している場合は、認可の欠陥などWebアプリケーション診断だけでは拾いにくい観点があり、API向けの診断を別に行う必要が生じることがあります。Webアプリ診断との違いや、どこまでを診断範囲に含めるべきかは、以下の記事で整理しています。
Webアプリケーション診断の費用相場
費用は、多くの公式ページで「要お問い合わせ」とされ、目安がつかみにくい部分です。ここでは、金額を公表している事例をもとに、おおよその相場感を示します。診断のタイプ別に整理すると、おおまかには次のとおりです。
| 費用の目安 | ツール型（自動・SaaSで自社実施） | 手動中心（専門家が精密に診断） |
|---|---|---|
| 費用の目安 | 月額数万円〜 | 1サイトあたり数十万円〜数百万円 |
| 向くケース | 自社で定期的に自己チェックしたい | 重要なシステム、第三者の報告書が必要 |
※実際の費用は、診断対象のページ数やリクエスト数、機能の複雑さによって変わります。
記事後半で紹介するサービスの公表価格も、自動ツール型が月額数万円台から、専門家に委託する診断が十数万円から100万円程度と、この幅に収まります。参考として、外部委託の一般的な相場を、GMOグローバルサイン・ホールディングスは自社の解説記事で次のように示しています。
一般的に信頼性のある事業者に外部委託する場合の費用は、「1サイト当たり数十万円～100万円超」です。小規模なサイトでは数十万円から、決済機能や会員基盤を持つ大規模・複雑なシステムなら数百万円になることもあります。
出典：Webアプリケーション診断とは？内容・費用・選び方を解説｜GMOグローバルサイン・ホールディングス（CloudCREW byGMO）
個別の料金を公表している例もあります。セコムトラストシステムズのWebアプリケーション診断サービスは、2026年11月時点で基本料金が500,000円から、報告会が80,000円からと示されています（診断対象のリクエスト数などにより変動します）。会員基盤や決済を持つ規模の大きなシステムでは、数百万円に達する場合があると見ておくとよいでしょう。
無料ツールで済むか
オープンソースの脆弱性スキャナーなど、無料で使えるツールも存在します。開発段階での自己チェックには役立ちますが、設定や結果の解釈に専門知識が必要で、検出できる範囲も限られます。認可の不備や業務ロジックに関わる脆弱性は自動ツールでは見つけにくく、無料ツールだけで「問題なし」と判断するのは危険です。
取引先への提出や監査対応で第三者による診断報告書が必要な場合は、無料ツールでは代替できません。自社でやるか外部に依頼するかは、「第三者の報告書が必要か」「会員情報や決済を扱う重要なシステムか」で分けると判断しやすくなります。報告書が不要で重要度も高くない範囲の自己チェックは無料ツールや自動ツール、それ以外は専門の診断サービス、という使い分けが現実的です。
出典・参考資料（2件）
診断の進め方・期間
ここからは、実際に診断を依頼してから結果を受け取るまでの流れを見ていきます。委託する場合、おおむね次のステップで進みます。
- ヒアリング・見積もり：診断対象の範囲（画面数・機能・リクエスト数）を確認し、費用と期間を見積もります。
- 申し込み・事前準備：診断対象の環境やアカウントを用意します。開始の一定期間前までに申し込みが必要な場合があります。
- 診断の実施：ツール・手動で脆弱性を検査します。
- 報告書の作成・提出：検出した脆弱性を、危険度・再現方法・対策とあわせて報告書にまとめます。
- 再診断・報告会（オプション）：修正後に再度診断して対策の効果を確認したり、報告会で内容を説明したりします。
報告書と再診断
診断を本番環境で行うか、本番と同じ構成の検証環境で行うか、またサービスへの負荷をどう抑えるかは、最初のヒアリングで依頼先と調整します。稼働中のサービスを止めずに実施できるよう、診断時間帯の調整などに対応する事業者もあります。
期間の目安として、セコムトラストシステムズのサービスでは診断作業に5日間、報告書の作成・提出に10日間と示されています（対象の規模により変わります）。診断は「受けて終わり」ではなく、報告書で指摘された脆弱性を修正し、再診断で対策できているかを確認するところまでが一連の流れです。再診断の有無や回数は依頼先によって異なるため、見積もり時に確認しておくとよいでしょう。
出典・参考資料（1件）
- 出典：Webアプリケーション診断サービス｜セコムトラストシステムズ（リンク）
実施タイミング・頻度と求められる場面
Webアプリケーション診断を実施すべきタイミングは、大きく「新規サービスのリリース前」「定期的な実施」「外部からの要求時」の3つに分けられます。リリース前は公開前に弱点をつぶすため、定期的な実施は運用中に生まれた新たな脆弱性に対応するためです。
外部からの要求としては、取引先からの依頼、監査やISMS認証への対応、業界ガイドラインへの準拠などがあり、こうした場面で第三者が実施した診断の報告書が求められます。背景として、IPAによると脆弱性関連情報の届出は累計20,553件にのぼり、その多くがWebサイトに関するものです。
ウェブサイトに関する届出が全体の約7割を占めています。
出典：ソフトウェア等の脆弱性関連情報に関する届出状況［2026年第3四半期］｜独立行政法人情報処理推進機構（IPA）
届出の多くがWebサイト関連である状況は、Webアプリケーションが攻撃の対象になりやすいことを示しています。攻撃の手口は日々変化するため、一度診断して終わりにせず、システムの改修時や定期的なタイミングで継続的に確認することが望まれます。
出典・参考資料（1件）
- 出典：ソフトウェア等の脆弱性関連情報に関する届出状況［2026年第3四半期（7月～9月）］｜独立行政法人情報処理推進機構（IPA）（リンク）
継続的に診断すべき理由として、脆弱性診断を提供する事業者からは、近年の攻撃の変化を背景に挙げる声もあります。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
依頼先の選び方
最後に、診断を外部に依頼する場合の選び方を整理します。次の観点を自社の状況に当てはめて確認すると、依頼先を絞り込みやすくなります。
- 対応範囲：自社が診断したい対象（Webアプリ・API・クラウド設定・ソースコードなど）に対応しているかが最初の確認ポイントです。診断したい範囲が広い場合は、複数の診断をまとめて提供できる事業者が候補になります。
- 診断基準・網羅性：IPAのガイドラインやOWASPのリスク分類など、どの基準に沿って診断するかを確かめましょう。ツール診断と手動診断のどちらを・どの範囲で行うかも、検出できる脆弱性の幅に関わります。
- 信頼性・実績：同業種での診断実績や、第三者基準への適合を確認します。IPAの「情報セキュリティサービス基準適合サービスリスト」は、経済産業省の基準に適合した事業者をIPAが公表しているもので、脆弱性診断サービスの区分を含むため、客観的な判断材料になります。
- サポート・再診断：報告書が修正の優先順位や具体的な対策まで示しているか、修正後の再診断に対応しているかも見ておきたいところです。
- 費用：対応範囲や診断手法が同等かを踏まえて比較します。極端に安い見積もりは、ツール診断のみで手動診断を含まないなど、範囲が限定されている場合があります。
自社で継続的に自己チェックしたいのか、取引先への提出用に第三者の報告書が必要なのかによって、適した依頼先は変わります。目的を整理したうえで、上記の観点で比較するとよいでしょう。
出典・参考資料（1件）
- 出典：情報セキュリティサービス基準適合サービスリスト｜独立行政法人情報処理推進機構（IPA）（リンク）
一括ダウンロードする
Webアプリケーション診断に対応するサービス
ここからは、Webアプリケーションの脆弱性診断に対応する主なサービスを紹介します。自動ツールで継続的に検査できるものから、専門家が手動で深く検査するもの、ソースコードやハードウェアまで幅広く対応するものまで、アプローチはさまざまです。まず全体像を比較表で示し、その後に各サービスの特徴を解説します。
| サービス名 | Aikido Security | Hi AUDIT | CoWorker 脆弱性診断 | Securify | AeyeScan | VAddy | SCT SECURE クラウドスキャン | GMO Flatt Security |
|---|---|---|---|---|---|---|---|---|
| 診断方法 | ツール自動診断（SaaS） | ツール＋専門家（ハイブリッド） | ツール＋専門家（ハイブリッド） | ツール自動診断 | ツール自動診断 | ツール自動診断 | ツール自動診断 | 専門家による網羅的な診断 |
| 主な診断対象 | ソースコード・クラウド設定・ Webアプリ（動的診断）ほか | Webアプリ・API・ スマートコントラクト・IoT/医療機器 | Webアプリ・API・ソースコード | Webアプリ・API | Webアプリ・SPA・API・Androidアプリ | Webアプリ・APIサーバー（REST API） | Webサイト・ネットワーク機器 | Webアプリ・API・SPA・GraphQL・ クラウドほか |
| 費用の目安 | 月額5万円台〜 （年間契約・10ユーザーまで） | 要お問い合わせ | 15万円〜（ソースコード診断） 動的診断30万円〜ほか | 月額5万円〜 （脆弱性診断STARTER、診断回数無制限） | 要お問い合わせ （回数無制限の定額制・無料トライアルあり） | 月額19,800円〜 （初期費用0円・税別） | 年額564,000円〜 （初年度・3IP/FQDNまで・税抜） | 100万円〜（税別） |
| 特徴 | 修正案を自動作成しプルリクまで提案する オートフィックス。開発〜運用を1画面で継続監視 | 攻撃シナリオと事業影響まで整理し、 修正完了まで追加料金なしで並走 | AIで従来比約10倍のスピード診断。 定期・継続的な実施に向く | 専門知識なしで画面操作から診断開始。 ASMと組み合わせて継続診断 | AI自動巡回で診断を内製化。 画面遷移図を自動生成 | CI/CDに組み込み継続スキャン。 1か月単位で契約可 | 毎日自動で継続診断。 PCI DSSのASV診断と同じテスト内容 | 標準診断にソースコード診断が 追加料金なしで付帯 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
1. Aikido Security（株式会社AndGo）
開発の現場で起きやすいセキュリティ上の論点を一つの画面でまとめて扱える、オールインワン型の脆弱性診断SaaSです。ソースコードの静的解析、AWSなどのクラウド設定ミスの検知（CSPM）、サーバーOSや依存ミドルウェア起因の脆弱性、稼働中のWebアプリケーションの検査などを、分断せずに運用できます。
脆弱性を見つけて終わりにせず、修正案のドラフトを自動で作成してプルリクエストまで提案する「オートフィックス」機能を備えている点が特徴です。料金は利用規模に応じた月額のサブスクリプション型で、無償のトライアル環境から始められます。開発と運用の両面でセキュリティを継続的に見張りたいチームに向いています。
2. Hi AUDIT（株式会社TECHFUND）
株式会社TECHFUNDが「Hi AUDIT」のブランドで提供するセキュリティ診断サービスです。Webサービスやアプリケーションの診断を基本としつつ、Web3領域のスマートコントラクト監査や、IoT機器・医療機器といったハードウェアまで、幅広い対象のリスクを発見できる体制を持っています。
重視しているのは、脆弱性を「何件見つけたか」で終わらせず、どう直せばよいかを助言し、解消まで伴走する姿勢です。多様なシステムを運用していて、診断から対策までをまとめて相談したい企業に適しています。
3. CoWorker 脆弱性診断サービス（CoWorker株式会社）
WebアプリケーションやAPIを対象に、ソースコードを読み取る静的診断、実際にアクセスして解析する動的診断、仮想的な攻撃を仕掛けるペネトレーションテストの3つの方法を用意しています。AIを活用した自社開発の診断システム「Red Agent」を社内の専門家が使って診断する点が特徴で、従来より速い診断により、定期的・継続的な実施をしやすくしています。
料金は、静的診断（ソースコード診断）が15万円から、動的診断がAPIのエンドポイント数に応じて30万円から、Webペネトレーションテストが60万円からと公開されています（2026年11月時点）。価格の目安が分かりやすく、定期診断を検討したい企業にとって相談しやすいサービスです。
4. Securify（株式会社スリーシェイク）
株式会社スリーシェイクが提供する、自動巡回型のWebアプリケーション脆弱性診断ツールです。専門知識がなくても画面の操作で診断を開始でき、ツールが自動でサイトを巡回して脆弱性を検査します。公開されているIT資産を把握するASM（攻撃対象領域管理）と組み合わせて、診断対象の洗い出しから検査までを一貫して行える点も特徴です。
料金は脆弱性診断STARTERプランが月額5万円から（検査対象1 IP/FQDN、診断回数無制限、2026年11月時点）で、自社で手軽に繰り返し診断を実施したい開発チームに向いています。
5. AeyeScan（株式会社エーアイセキュリティラボ）
AI技術を使った自動巡回で、Webアプリケーションの脆弱性診断を内製化できるクラウド型ツールです。従来は専門家の手作業が必要だった画面の巡回や診断を自動化し、専門知識が十分でない担当者でも診断を進めやすくしている点を訴求しています。
外部委託を減らして社内で継続的に診断したい企業や、開発サイクルに診断を組み込みたい場合の選択肢になります。
6. VAddy（株式会社ビットフォレスト）
CI/CDパイプラインに組み込んで、継続的に脆弱性スキャンを実行できるクラウド型の診断ツールです。開発のたびに自動で診断を走らせる使い方ができ、集英社やGMOペパボなど多くの企業に導入されています。1か月単位で契約でき、初期費用は0円です。
継続的インテグレーションの一部として診断を回し、脆弱性を早期に検知したい開発チームに適しています。
7. SCT SECURE クラウドスキャン（三和コムテック株式会社）
三和コムテックが提供する、クラウド型の自動脆弱性スキャンサービスです。Webサイトやネットワーク機器をインターネット経由で毎日自動診断し、ソフトウェアの導入や機器の設置なしに利用できます。脆弱性の検知と優先順位付けを自動で行い、レポートはポータルから出力できます。
料金は標準プランで年額564,000円から（初年度・3IP/FQDNまで、税抜、2026年11月時点）です。公式ページ自身が手動診断を「人間ドック」、本サービスを「定期健康診断」に例えているとおり、日常的な監視として継続利用したい場合に向いた位置づけです。
8. GMO Flatt Security 脆弱性診断（GMO Flatt Security株式会社）
専門のセキュリティエンジニアが、Webアプリケーションを網羅的に診断するサービスです。標準の診断にソースコード診断（部分的なホワイトボックス診断）が追加料金なしで付く点が特徴で、API・SPA（画面遷移で動くタイプのアプリ）・GraphQL・クラウド・生成AIなど、個別のメニューがそろっています。
料金はWebアプリケーション診断で100万円からと公式ページに示されており（2026年11月時点）、専門のセキュリティエンジニアによる網羅的な診断を重視する企業に向いています。
ここで取り上げたのは、Webアプリケーションの診断を中心としたサービスです。プラットフォーム診断やネットワーク診断なども含めた脆弱性診断サービス全体を、診断方法・費用相場・選び方の観点で見比べて依頼先を絞り込みたい場合は、以下の記事で各サービスを整理しています。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
まとめ
Webアプリケーション診断は、WebサイトやWebアプリケーションに潜む脆弱性を攻撃前に洗い出す診断です。SQLインジェクションやクロスサイト・スクリプティング、認可の不備など、IPAやOWASPが挙げる代表的な脆弱性を検査し、ツール診断と手動診断を組み合わせて実施します。費用は小規模で数十万円から、決済・会員基盤を持つ大規模なシステムでは数百万円に達することもあります。
自社で継続的に自己チェックしたいのか、取引先や監査への提出用に第三者の報告書が必要なのかを整理したうえで、対応範囲・診断基準・実績・サポートの観点で依頼先を比較するとよいでしょう。自社の課題に合うサービスの資料を取り寄せて、具体的な費用や対応範囲を確認することをおすすめします。
一括ダウンロードする
よくある質問（FAQ）
Q. Webアプリケーション診断とは何ですか？
A. Webアプリケーション診断とは、WebサイトやWebアプリケーションに潜む脆弱性（攻撃に悪用され得る弱点）を、攻撃を受ける前に洗い出す診断です。ログイン・問い合わせフォーム・決済など、利用者の操作に応じて動く部分を対象に、不正なデータを送っても情報漏えいや改ざんにつながらないかを検査します。
攻撃者より先に弱点を把握して修正する目的のほか、取引先やISMS認証、業界ガイドラインへの対応として、第三者が実施した診断の報告書を求められる場面でも使われます。
Q. Webアプリケーション診断は、プラットフォーム診断・ペネトレーションテストと何が違いますか？
A. Webアプリケーション診断は、アプリケーションそのものの脆弱性を網羅的に洗い出す診断で、基盤を調べるプラットフォーム診断、侵入の可否を試すペネトレーションテストとは対象や目的が異なります。プラットフォーム診断はOS・ミドルウェア・サーバー・ネットワーク機器といった土台を対象にします。
ペネトレーションテストは「顧客データを取得できるか」などの特定の目的を、実際の攻撃者の視点で侵入を試して検証するテストです。言葉が似ているため、見積もりを取るときに対象や目的を取り違えないよう注意しましょう。
Q. Webアプリケーション診断の費用相場はどのくらいですか？
A. Webアプリケーション診断の費用相場は、外部委託の場合で1サイトあたり数十万円から、決済機能や会員基盤を持つ大規模・複雑なシステムでは数百万円に達することもあります。実際の費用は、診断対象のページ数やリクエスト数、機能の複雑さによって変わります。
多くの公式ページは費用を「要お問い合わせ」としていますが、金額を公表している事例ではGMOグローバルサイン・ホールディングスが「1サイト当たり数十万円～100万円超」、セコムトラストシステムズが基本料金500,000円からと示しています（2026年11月時点）。
Q. Webアプリケーション診断は無料ツールだけで済ませられますか？
A. Webアプリケーション診断は、無料ツールだけで済ませるのは重要なシステムでは危険で、開発段階の自己チェックに限って有効です。オープンソースの脆弱性スキャナーなどは設定や結果の解釈に専門知識が必要で、検出できる範囲も限られます。
認可の不備や業務ロジックに関わる脆弱性は自動ツールでは見つけにくく、取引先への提出や監査対応で第三者の診断報告書が必要な場合も無料ツールでは代替できません。自己チェックは無料ツール、重要なシステムや報告書が必要な場面は専門の診断サービス、という使い分けが現実的です。
Q. Webアプリケーション診断はどのくらいの頻度で実施すべきですか？
A. Webアプリケーション診断を実施すべきタイミングは、新規サービスのリリース前・運用中の定期的な実施・取引先や監査からの要求時の3つに大きく分けられます。リリース前は公開前に弱点をつぶすため、定期的な実施は運用中に生まれた新たな脆弱性に対応するためです。攻撃の手口は日々変化するため、一度診断して終わりにせず、システムの改修時や定期的なタイミングで継続的に確認することが望まれます。
Q. Webアプリケーション診断の依頼先はどう選べばよいですか？
A. Webアプリケーション診断の依頼先は、対応範囲・診断基準（OWASP・IPA準拠）・信頼性や実績・サポートと再診断の有無・費用の観点で比較して選びます。診断基準では、IPAの「情報セキュリティサービス基準適合サービスリスト」が経済産業省の基準に適合した事業者を公表しており、客観的な判断材料になります。
自社で継続的に自己チェックしたいのか、取引先への提出用に第三者の報告書が必要なのかによって適した依頼先は変わるため、まず目的を整理したうえで比較するとよいでしょう。
脆弱性・セキュリティ診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、Webアプリケーション診断をはじめとする脆弱性・セキュリティ診断サービスの最新資料を無料で一括請求できます。対応範囲や診断手法、費用を並べて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
