自社のコーポレートサイトが改ざんされたり、問い合わせフォームから個人情報が漏れたりするニュースは後を絶ちません。「自分の会社のサイトは大丈夫だろうか」と気になって、何から確かめればよいか調べている方も多いのではないでしょうか。特に、WordPressなどで作ったサイトを専任の担当者がいないまま運用していると、どこに弱点があるのか分かりにくいものです。
Webサイトのセキュリティは、まず無料のツールを使って自分で現状を把握できます。ただし、無料ツールで「問題なし」と出ても、それだけで安全とは言い切れません。本記事では、無料でできるチェック方法と確認すべき項目、無料ツールの限界、本格的な脆弱性診断（プロ）が必要になる場面と費用の目安、見つかった問題の直し方までを順に解説します。
まずは手を動かして自社サイトの現状を確かめ、必要に応じて次の一歩を選べるように、具体的な手順に沿って整理しました。自社のサイトを守るための検討材料としてご活用ください。
目次
一括ダウンロードする
無料でできるWebサイトのセキュリティチェック｜自社サイトをすぐ確認できるツール
Webサイトのセキュリティは、費用をかけなくても無料のツールでおおまかな状態を確かめられます。URLを入力するだけで安全性を判定するものから、サイトの所有者として登録して自社サイトの問題を検出するものまで、役割はさまざまです。代表的な無料ツールを、何が分かるか・用途・所有者の確認が必要かで整理しました。
| 無料セキュリティチェックツール | gred（グレッド） | ESETリンクチェッカー | Google Search Console | HTTP Observatory（Mozilla） |
|---|---|---|---|---|
| 何が分かるか | 入力したURLの安全・危険の外形判定。オプションでリンク先やドメイン情報も取得 | 入力したURLがマルウェア・フィッシング・詐欺・不正サイトへのリンクかをデータベース照合で判定 | 自社サイトのハッキングされたコンテンツ・マルウェア・ソーシャルエンジニアリングを検出（セキュリティの問題レポート） | サイトのHTTPセキュリティヘッダなど、主要なセキュリティ設定を評価 |
| 無料でどこまで | 無料で利用可 | 無料で利用可 | 無料 | 無料 |
| 用途 | 閲覧者が他人のURLを確認（運営者の外形確認にも） | 閲覧者が他人のURLを確認 | 運営者が自社サイトを確認 | 運営者が自社サイトを確認 |
| 所有者確認の要否 | 不要 | 不要 | 必要（所有権の確認が前提） | 不要 |
※各ツールの判定内容・無料範囲は2026年11月時点の各ツール公式情報によります。仕様は変更される場合があるため、利用時に各公式サイトでご確認ください。
使い方はツールによって異なります。gredやESETリンクチェッカーは、調べたいページのURLを入力欄に貼り付けて実行するだけで、安全か危険かの判定が表示されます。
Google Search Consoleは、まず自社サイトを登録して所有権を確認する初期設定（DNSレコードの登録やHTMLファイルの設置など）が必要で、設定後は「セキュリティの問題」レポートで検出結果を確認します。HTTP Observatoryは、自社サイトのドメインを入力すると設定の評価が表示されます（画面は英語表示です）。
これらのツールは、大きく「URLを入力して安全かどうかを判定するもの」と「自社サイトの所有者として登録し、運営者視点で問題を調べるもの」に分かれます。自分がどちらの立場でチェックしたいのかによって、使うツールが変わります。次の章で、この違いを詳しく見ていきます。
出典・参考資料（4件）
「他人のURLを確認するツール」と「自社サイトを診断するツール」の違い
Webサイトのチェックツールでつまずきやすいのが、「閲覧する側のためのツール」と「運営する側のためのツール」が混在している点です。両者は目的が異なるため、自社サイトの弱点を調べたいのに閲覧者向けのツールを使ってしまうと、知りたいことが分かりません。
URLを入力して安全・危険を判定するタイプ（gredやESETリンクチェッカーなど）は、これから開こうとするページが危険でないかを、閲覧者が開く前に確かめるためのものです。公開情報やセキュリティデータベースとの照合が中心で、サイトの所有者でなくても使えます。
一方、自社サイトの弱点を運営者として調べるには、サイトの所有権を確認して使うツール（Google Search Consoleなど）や、設定を外から評価するツール（HTTP Observatoryなど）を使います。Google Search Consoleはサイトをプロパティとして登録し、所有権を確認してから利用する仕組みで、ハッキングされたコンテンツやマルウェアの検出結果を運営者が受け取れます。
所有者の確認を求めるツールは、登録した運営者だけに結果を見せる仕組みのため、運営者向けと判断できます。一方、所有者確認が不要でも、HTTP Observatoryのように外から設定を評価して運営者の点検に使うツールもあります。迷ったときは、そのツールが「開く前のページを確かめたい閲覧者」と「自社サイトの弱点を知りたい運営者」のどちらを想定しているかで見分けましょう。
注意したいのは、脆弱性スキャンのように攻撃に近い通信を送る診断は、自社が管理するサイトに限って行うという点です。診断サービスを提供するSynXは、脆弱性スキャンに使われる代表的なツールであるZAPを例に、FAQで次のように注意を促しています。
ZAPのように攻撃に近い通信を送るツールを、管理者の許可なく他者のサイトに使うと、不正アクセスとみなされるおそれがあります。
出典：Webサイト診断とは？無料ツール6選とプロの脆弱性診断との使い分けを解説｜SynX
不正アクセス行為の禁止等に関する法律でも、第3条で「何人も、不正アクセス行為をしてはならない」と定められています。ここでいう不正アクセス行為は、他人のIDやパスワード、あるいはそれに代わる情報を使ってアクセス制限を突破する行為を指し、違反には罰則も設けられています。
公開ページを見るだけのチェックと、攻撃に近い通信を送る診断は性質が異なるため、弱点を探る診断は必ず自社が管理するサイトに対して行いましょう。
出典・参考資料（1件）
Webサイトで確認すべきセキュリティチェック項目
ここからは、自社サイトで具体的に何を確認すればよいかを、項目ごとに整理します。無料ツールの結果を読み解くときも、以下の観点を押さえておくと、どこに問題がありそうかを判断しやすくなります。
通信の安全性（SSL/TLS）は確保できているか
サイトとの通信が暗号化されているかは、基本の確認項目です。URLが「https://」で始まり、ブラウザのアドレスバーに鍵マークが表示されていれば、SSL/TLSによる暗号化通信が有効になっています。あわせて、サーバー証明書の有効期限が切れていないかも確認します。期限が切れるとブラウザに警告が表示され、利用者が不安を感じて離脱する原因になります。
証明書の中身は、鍵マークをクリックして「証明書」や接続の詳細を開くと確認できます。発行先のドメイン名が自社サイトと一致しているか、有効期限内か、発行元（認証局）はどこかを確認します。暗号化方式の強度や設定の不備まで点検したい場合は、SSLの設定を無料で診断できる外部ツールにドメインを入力する方法もあります。
問い合わせフォームや会員ログインなど、個人情報を入力するページでは特に重要です。
ソフトウェアの脆弱性に対策できているか（CMS・プラグイン・サーバー）
Webサイトを動かすソフトウェアの古さは、攻撃の入り口になりやすい弱点です。WordPressなどのCMS（コンテンツ管理システム）を使っている場合は、本体・テーマ・プラグインに更新（アップデート）が出ていないかを管理画面で確認し、放置された古いバージョンがないか点検しておきましょう。使っていないプラグインやテーマは、停止するだけでなく削除しておくと、攻撃対象を減らせます。
WordPressでサイトを運用している場合は、本体やプラグイン特有の弱点の見方と、無料セルフ診断・プロ診断の使い分けを、以下の記事でさらに詳しく解説しています。
WordPress脆弱性診断の選び方｜無料ツールとの違い・費用相場・プロ診断サービス比較
WordPressでサイトを運営していると、「うちのサイトに脆弱性は残っていないだろうか」という不安がふとよぎります。プラグインやテーマは便利に追加できる一方で、それぞれが攻撃の入り口になり得ます。無料の診断ツールを試してはみたものの、「こ…
サイトの土台となるサーバーのOSやミドルウェアにも、同じように脆弱性が見つかります。IPA（独立行政法人 情報処理推進機構）の「安全なウェブサイトの作り方」では、SQLインジェクションやクロスサイト・スクリプティングなど、Webアプリケーションで対策すべき代表的な脆弱性がまとめられています。自社サイトでどこまで対策できているかを確認する際の指針になります。
出典・参考資料（1件）
改ざん・マルウェア・フィッシングの兆候はないか
サイトが改ざんされると、意図しないページが追加されたり、閲覧者が不正なサイトへ誘導されたりします。身に覚えのないファイルやページが増えていないか、表示崩れや不審なリダイレクトが起きていないかを確認しましょう。Google Search Consoleを登録しておくと、ハッキングされたコンテンツやマルウェアが検出された際に、運営者側で気づける仕組みが整います。
WordPressなら、管理画面の投稿・固定ページ・メディアの一覧に見覚えのない項目が増えていないかを確認できます。外部から見える範囲の改ざんは、URL判定ツールでもある程度確かめられます。
サーバー・ドメインの設定に不備はないか
公開する必要のないディレクトリの一覧が見えてしまう、セキュリティ関連のHTTPヘッダが設定されていない、といった設定の不備も弱点になります。HTTP Observatoryのように、サイトのセキュリティ設定を外から評価するツールを使うと、推奨される設定が抜けていないかを確認できます。
WordPressの場合は、管理画面のURLやログイン情報が推測されやすい状態になっていないかもあわせて見直しておくと安心です。
無料ツールで「問題なし」と出ても安心できない理由
無料ツールや範囲を絞った診断で問題が出なかったとしても、それは「安全である」という保証ではありません。IPAは、簡易な診断仕様である「ウェブ健康診断仕様」について、次のように明記しています。
本診断は検査パターンを絞り込んだものです。安全宣言には繋がりません。
出典：ウェブ健康診断仕様｜独立行政法人 情報処理推進機構（IPA）
無料ツールで確認できるのは、外から見える情報や既知のパターンの範囲にとどまります。ログインした後の画面、利用者ごとの権限設定、そのサイト独自の業務ロジックに関わる弱点までは確認できないことがあります。SynXもFAQで「無料ツールの結果だけで『安全』とは言い切れません」とし、個人情報や決済を扱うサイトでは、プロによる脆弱性診断もあわせて検討するよう勧めています。
無料ツールは現状を手早く把握する入り口として役立ちますが、「問題なし」を「対策は万全」と読み替えないことが大切です。自社サイトが扱う情報の重要度に応じて、確認の深さを使い分けましょう。
出典・参考資料（1件）
一括ダウンロードする
本格的な脆弱性診断（プロ）が必要になる場面と費用の目安
無料ツールで現状を把握したうえで、より踏み込んだ確認が必要になる場面があります。ここでは、プロの脆弱性診断を検討すべきケースと、自動ツールとの違い、費用の目安を整理します。
どんなときにプロの診断が必要になるか
目安になるのは、サイトが扱う情報の重要度と、機能の複雑さです。会員登録や問い合わせフォームで個人情報を預かる、オンラインで決済を扱う、ログインした後にしか使えない機能が多い、といったサイトは、無料ツールでは届かない範囲に弱点が潜みやすくなります。新しい機能を追加した直後やサイトを大きく改修した直後も、想定外の穴が生まれやすいタイミングです。
無料ツールのチェックで不安が残る場合も、専門家による診断を検討する場面といえます。
自動ツールとプロの診断はどう違うか
自動ツールによる診断は、既知の攻撃パターンを機械的に試して弱点を洗い出します。短時間・低コストで広く確認できる一方、そのサイト固有の業務ロジックや、権限設定の組み合わせによって生じる弱点は見落とすことがあります。専門家による診断は、こうした箇所を手動で検証し、実際に攻撃が成立するかどうかまで踏み込んで確かめます。
無料ツールでの自己点検と、専門家による診断は、確認できる範囲が異なる補完関係にあると考えるとよいでしょう。
費用の目安
プロの脆弱性診断の費用は、診断の方式や対象の規模によって幅があり、課金の単位も会社によって異なります。
公表されている例では、ツールを使った自動診断は1リクエストあたり10,000円、ツールと手動を組み合わせたハイブリッド診断は1リクエストあたり20,000円とされています（2026年11月時点。税込・税別の記載は確認できず）。
専門家が手動確認まで行うオーダーメイド型では価格帯が上がり、528,000円（税込）からとする例もあります（2026年11月時点。含まれる診断範囲は要問い合わせ）。
「1リクエスト」は診断する対象（画面やリクエストの単位）を数えるもので、総額は診断する対象の数によって変わります。リクエスト数で決まる課金と、サイトの規模や要件に応じたオーダーメイドの課金では見積もりの前提が異なるため、複数のサービスを比べる際は課金の単位もあわせて確認しましょう。
出典・参考資料（2件）
見つかった問題の直し方と継続的に守る進め方
チェックで弱点が見つかったら、そのままにせず対処し、再度確認するところまでを一区切りにします。あわせて、一度きりで終わらせず継続的に確認する進め方も押さえておきましょう。
見つかった問題の直し方
もっとも基本的な対処は、ソフトウェアを最新の状態に保つことです。WordPressなどのCMSを使っている場合は、本体・テーマ・プラグインの更新を適用し、使っていないものは削除しましょう。管理画面のログイン情報が推測されやすい状態なら、強固なパスワードに変更し、アクセスできる範囲を必要な人に限定します。
設定の不備が見つかった場合は、公開しなくてよいディレクトリを非公開にする、推奨されるセキュリティヘッダを追加するなど、項目ごとに対処しましょう。
修正したら、同じツールでもう一度確認し、問題が解消されているかを確かめましょう。IPAの「安全なウェブサイトの作り方」では、脆弱性そのものをなくす根本的な対策と、被害を抑える運用面の対策の両方が示されており、対処の優先順位を考えるうえで参考になります。
継続的に守る進め方
Webサイトのセキュリティは、一度確認すれば終わりではありません。新たな脆弱性は日々見つかり、サイトも更新や改修で状態が変わるためです。SynXは頻度の一つの目安として、無料ツールでのセルフチェックは月に1回程度、プロによる脆弱性診断は年に1回程度を挙げています。これに加えて、サイトを大きく改修した直後にも確認しておくと、変更にともなって生まれた弱点に早く気づけます。
出典・参考資料（2件）
無料ツール・CMS更新だけでは守りきれない弱点を補う脆弱性診断サービス
無料ツールでのチェックやCMSの更新は大切な第一歩ですが、サーバーのOSやWordPressなどの土台（依存ミドルウェア）に潜む弱点や、WebアプリケーションやAPIの深い脆弱性までは、見つけきれないことがあります。こうした層まで継続的に、あるいは専門的に確認したい場合は、脆弱性診断サービスの利用が選択肢になります。ここでは、こうした弱点を補えるサービスを紹介します。
| サービス名 | Aikido Security | CoWorker 脆弱性診断サービス |
|---|---|---|
| 診断対象（検査できる範囲） | ソースコード・依存ライブラリ クラウド設定・稼働中Webアプリ サーバーOS・WordPress等の 依存ミドルウェアも対象 | Webアプリ・API ソースコード・設計書 |
| 診断方式 | SaaS型の自動スキャン （ツールを自社で利用） | AIの自動解析＋ 専門家による最終確認 （委託型） |
| 継続して使えるか | ●月額制で自社が常時検査 | △都度依頼（定期診断も相談可） |
| 無料で試せるか | ●無料Developerプランあり | ×有償診断のみ |
| 料金の目安 | 無料プランあり 有償は月額5万円台〜 （参考価格・年間契約／利用者10人まで） | ソースコードAI診断 150,000円〜 （MCB FinTechカタログ掲載情報） |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
※各サービスの診断対象・料金は2026年11月時点の各社公開情報およびMCB FinTechカタログ掲載情報によります。料金には参考価格を含み、税区分・最新の金額は変更される場合があるため、利用時に各社へのお問い合わせでご確認ください。
ここで取り上げた2サービスは、無料ツールやCMS更新だけでは届きにくい土台の弱点を補える例です。無料ツールも含めて脆弱性診断サービス全体を、診断方法・費用相場・選び方から比較検討したい方は、以下の記事で詳しく解説しています。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
1. Aikido Security（Aikido Security BV／株式会社AndGo）
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・コンテナ・稼働中のWebアプリケーションを、1つの管理画面でまとめて検査できるSaaS型のツールです。ベルギーのAikido Security BVが開発し、日本では株式会社AndGoが日本語での窓口を担っています。
本記事で触れた「無料ツールやCMSの更新だけでは届きにくい土台の弱点」に対応できる点が特徴です。サーバーのOSやWordPressなど、依存するミドルウェアに起因する脆弱性も検査対象に含まれます。料金は利用者数に応じたサブスクリプション型で、無料で試せるDeveloperプランから用意されています。まず無料で現状を確かめ、継続的な検査へ移行したい場合に検討しやすい構成です。
日本窓口では、年間契約・利用者10人までの参考価格として月額5万円台からの案内があり、日本円での請求書払いにも対応しています。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker株式会社の脆弱性診断サービスは、自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた点が特徴です。診断メニューは、ソースコードを読み取って弱点を洗い出すソースコードAI診断、稼働中のWebアプリケーション・APIを対象とする動的診断、実際の攻撃を想定したペネトレーションテストの3つがあります。
本記事で紹介した無料ツールやオーダーメイド型の診断と比べると、入り口の価格が抑えられている点が検討しやすいところです。ソースコードAI診断は150,000円から利用でき（MCB FinTechカタログ掲載情報）、報告書は最短3営業日で納品されます（同社発表）。無料ツールで不安が残った段階から、まず自社の状況に合う範囲の診断を依頼したい場合の選択肢になります。
同社は、攻撃側がAIを使うようになったことで、従来の年1回を中心とした診断では追いつきにくくなっているとして、定期的な診断の必要性を次のように説明しています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
まとめ
Webサイトのセキュリティチェックは、まず無料のツールで現状を把握することから始められます。その際は、閲覧者向けのツールと運営者向けのツールを取り違えないこと、脆弱性を探る診断は自社が管理するサイトに限ることを押さえておきましょう。
一方で、無料ツールで「問題なし」と出ても、それは安全の保証にはなりません。扱う情報の重要度が高いサイトや、ログイン後の機能が多いサイトでは、専門家による脆弱性診断もあわせて検討します。
見つかった弱点はソフトウェアの更新や設定の修正で対処し、月1回のセルフチェックと年1回程度の診断を一つの目安に、継続的に確認する体制を整えていくことが、自社サイトを守る近道です。まずは無料ツールでの現状把握から始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. Webサイトのセキュリティチェックとは何ですか？
Webサイトのセキュリティチェックとは、自社サイトに改ざんやマルウェア、通信の暗号化不備、ソフトウェアの脆弱性といった弱点がないかを確認する作業です。URLを入力するだけの無料ツールで運営者が自分で現状を把握する方法から、専門家が手動で検証する本格的な脆弱性診断まで幅があり、サイトが扱う情報の重要度に応じて確認の深さを使い分けます。
まず無料ツールで現状を把握し、必要に応じて踏み込んだ診断を検討するのが基本の流れです。
Q. 無料ツールで「問題なし」と出れば、Webサイトは安全と考えてよいですか？
Webサイトは、無料ツールで「問題なし」と出てもそれだけで安全とは言い切れません。無料ツールで確認できるのは外から見える情報や既知のパターンの範囲にとどまり、ログイン後の画面・利用者ごとの権限設定・サイト独自の業務ロジックに関わる弱点までは分からないことがあるためです。
IPAも、簡易な診断仕様である「ウェブ健康診断仕様」について「本診断は検査パターンを絞り込んだものです。安全宣言には繋がりません。」と明記しています。個人情報や決済を扱うサイトでは、プロによる脆弱性診断もあわせて検討しましょう。
出典・参考資料（2件）
Q. 他社や取引先のWebサイトを許可なく診断してもよいですか？
Webサイトの脆弱性を探る診断は、自社が管理するサイトに限って行うのが原則です。URLを入力して安全性を照合するだけのツールはどのサイトにも使えますが、攻撃に近い通信を送る脆弱性スキャンを管理者の許可なく他者のサイトに使うと、不正アクセスとみなされるおそれがあります。不正アクセス行為の禁止等に関する法律は第3条で「何人も、不正アクセス行為をしてはならない」と定めています。
ここでいう不正アクセスは他人のIDやパスワード、あるいはそれに代わる情報を使ってアクセス制限を突破する行為を指し、公開ページを見るだけのチェックそのものを違法と定めているわけではありませんが、トラブルを避けるため、弱点を探る診断は必ず自社が管理するサイトに対して行いましょう。
出典・参考資料（2件）
Q. Webサイトのセキュリティチェックはどのくらいの頻度で行うべきですか？
Webサイトのセキュリティチェックは、無料ツールでのセルフチェックを月に1回程度、プロによる脆弱性診断を年に1回程度行うのが一つの目安です。新たな脆弱性は日々見つかり、サイトも更新や改修で状態が変わるため、一度確認すれば終わりにはなりません。これに加えて、新機能のリリースやサイトの大規模な改修を行った直後にも確認しておくと、変更にともなって生まれた弱点に早く気づけます。
出典・参考資料（1件）
Q. プロによるWebサイトの脆弱性診断の費用はどのくらいですか？
プロによるWebサイトの脆弱性診断の費用は、診断の方式や対象の規模によって幅があり、課金の単位も会社によって異なります。
公表されている例では、ツールを使った自動診断は1リクエストあたり10,000〜20,000円程度、専門家の手動確認を含むオーダーメイド型は528,000円（税込）からとされています（いずれも2026年11月時点）。
会社によって課金の単位が異なるため、複数のサービスを比べるときは、同じ条件で見積もりを取って費用を比較すると判断しやすくなります。
出典・参考資料（2件）
Q. WordPressで作ったサイトでは、特に何に気をつければよいですか？
WordPressサイトでは、本体・テーマ・プラグインを最新の状態に保つことと、管理画面へのログインを守ることが特に重要です。古いバージョンのCMSやプラグインは攻撃の入り口になりやすいため、管理画面で更新（アップデート）が出ていないかを点検して適用し、使っていないプラグインやテーマは停止するだけでなく削除して攻撃対象を減らしましょう。
あわせて、管理画面のURLやログイン情報が推測されやすい状態になっていないかを見直し、強固なパスワードに変更したうえで、アクセスできる範囲を必要な人に限定します。脆弱性ごとの具体的な対策は、IPA「安全なウェブサイトの作り方」が指針になります。
出典・参考資料（1件）
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、Webサイトやシステムの脆弱性診断サービスの最新資料を無料で一括請求できます。検査対象や診断方式、料金、サポート体制を見比べて、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
