Webサイトセキュリティスキャナー & ペンテスト、数秒で採点。
攻撃者が見るものを、攻撃者より先に、正確に確認できます。1回のスキャンでセキュリティヘッダー、TLS、露出ファイル、Cookie、設定ミスを点検し、明確なグレードと、見つかった問題ごとの修正案をお渡しします。
- ヘッダー、TLS & Cookie
- 露出した .env & .git を検出
- 表層 & 深層ペンテスト
- 問題ごとに修正案
1回のスキャンで、攻撃対象領域のすべて。
スキャンは、攻撃者の最初の一手と同じ手口で公開領域を探り、見つかった問題を平易な言葉で説明し、エディタにそのまま貼り付けられる修正案を添えます。プッシュのたび、稼働中のサイトで再度、そしてスケジュールに沿って実行されます。
表層ペンテストは、ハッカーと同じように稼働中のサイトを攻撃します。深層ペンテストはさらに踏み込み、開いているポートを探り、サーバーの一般的な設定ミスを点検し、多くのスキャナーが見逃すインフラの弱点を掘り起こします。
HSTS、CSP をはじめとするセキュリティヘッダー、TLS のバージョンと証明書の健全性、さらに秘密情報を漏らす到達可能な .env、.git、バックアップファイル。攻撃者が真っ先に探すものすべてです。
見つかった問題ごとに、平易な修正案と、Claude、Cursor、Windsurf に貼り付けられるプロンプトが付きます。修正後に再スキャンして、グレードが動くのを確かめましょう。履歴はサイトのタイムラインに残ります。
スキャンがあなたのために点検すること。
攻撃者が真っ先に探す弱点。カーソルを合わせると一時停止して読めます。
セキュリティヘッダーの欠如
HSTS も CSP も X-Frame-Options もない。1つずつ指摘し、追加すべき正確なヘッダーをお渡しします。
脆弱または期限切れ間近の TLS
古い TLS バージョンや失効間近の証明書を、鍵マークが赤くなる前に検出します。
露出した .env ファイル
HTTP で到達できる .env は、秘密情報を差し出しているのと同じ。数秒で見つけます。
到達可能な .git ディレクトリ
公開された .git フォルダは、誰でもソースを再構築できてしまう。スキャンで捕捉します。
ディレクトリ一覧
公開するつもりのなかったファイルを、こっそりさらけ出す開いたフォルダ。
セキュリティヘッダーの欠如
HSTS も CSP も X-Frame-Options もない。1つずつ指摘し、追加すべき正確なヘッダーをお渡しします。
脆弱または期限切れ間近の TLS
古い TLS バージョンや失効間近の証明書を、鍵マークが赤くなる前に検出します。
露出した .env ファイル
HTTP で到達できる .env は、秘密情報を差し出しているのと同じ。数秒で見つけます。
到達可能な .git ディレクトリ
公開された .git フォルダは、誰でもソースを再構築できてしまう。スキャンで捕捉します。
ディレクトリ一覧
公開するつもりのなかったファイルを、こっそりさらけ出す開いたフォルダ。
安全でない Cookie
ユーザーのログイン状態を保つ Cookie に、HttpOnly、Secure、SameSite フラグが欠けている。
サーバー & バージョンの漏えい
どのソフトのどのバージョンを狙えばよいか、攻撃者にそのまま教えてしまうバナー。
開いたポート & サービス
深層ペンテストが、インターネットに面してはならないサービスを探ります。
よくある設定ミス
デバッグモードの付けっぱなし、緩すぎる CORS、そして侵害につながる初期設定。
混在コンテンツ & リダイレクト
HTTPS ページ上の HTTP リソースや、ユーザーをフィッシングに誘うオープンリダイレクト。
安全でない Cookie
ユーザーのログイン状態を保つ Cookie に、HttpOnly、Secure、SameSite フラグが欠けている。
サーバー & バージョンの漏えい
どのソフトのどのバージョンを狙えばよいか、攻撃者にそのまま教えてしまうバナー。
開いたポート & サービス
深層ペンテストが、インターネットに面してはならないサービスを探ります。
よくある設定ミス
デバッグモードの付けっぱなし、緩すぎる CORS、そして侵害につながる初期設定。
混在コンテンツ & リダイレクト
HTTPS ページ上の HTTP リソースや、ユーザーをフィッシングに誘うオープンリダイレクト。
オンラインセキュリティスキャンが実際に採点するもの。
Defenso を稼働中の URL に向けると、静的なコピーではなく、実際に動いているサイトに対して表層ペンテストを実行します。各チェックは A から F のレターグレードに対応し、一目で現状がわかります。そして見つかった問題ごとに、専門用語ではなく平易な修正案が付きます。
セキュリティヘッダー
スキャナーは Content-Security-Policy、HSTS、X-Frame-Options、Referrer-Policy をはじめ、クリックジャッキング、MIME スニッフィング、混在コンテンツを防ぐヘッダー一式を点検します。欠落や脆弱なヘッダーはグレードを下げ、設定すべき正確な値が添えられます。
TLS と証明書の健全性
オンライン脆弱性スキャンが証明書チェーン、プロトコルバージョン、暗号スイートを精査し、ブラウザが訪問者に警告を出し始める前に、失効間近または設定ミスのある TLS を指摘します。
露出と漏えい
サイトを静かに沈めるものを探します。露出した .env や .git ディレクトリ、開いた管理パス、ディレクトリ一覧、冗長なスタックトレース、クライアント JavaScript に残された秘密情報。公開インターネットから到達できるものはすべて対象です。
既知の脆弱性
見つかった問題は、毎日更新する脆弱性データベースと照合されます。だから今日実行したセキュリティスキャンには、先四半期のスナップショットではなく、今週公表された CVE や設定ミスが反映されます。
ただ1つのレターグレード
すべてがサイトごとに A から F の1つのセキュリティグレードにまとまります。指摘された項目を直し、再スキャンして、グレードが動くのを確かめましょう。サイトが良好であることを顧客や上司に示す、いちばん速い方法です。
問題ごとに1つの平易な修正案
次の一手のない CVSS ベクトルの羅列はありません。各問題は、変更すべきファイル・ヘッダー・設定と、使うべき値を名指しするので、開発者はその場で片づけられます。
すばやいスキャンから深層のWebペンテストへ。
無料の表層スキャンは、それ単体でも本当に役立ちます。もっと踏み込む必要があるときは、Max プランの深層ペンテストが、すばやいスキャンでは届かない部分まで探ります。
表層ペンテストは無料で、サイトごとに月1回、カード不要で実行できます。ヘッダー、TLS、公開領域を数秒で採点し、A から F のスコアと、問題ごとの修正案を返します。どんな稼働中のサイトにも、まず打つべき正しい一手です。
Max プランで利用できる深層ペンテストは、意図せず露出したサービスを見つけるポートスキャン、開けっ放しのログインやダッシュボードのパスを捕らえる管理面の列挙、そして本物のブラウザと同じようにサイトを読み込むレンダリング済みページのクロールを加えます。これにより、シングルページアプリや JavaScript ルートも点検されます。この組み合わせが、静的な単発スキャナーが素通りしてしまう問題を浮かび上がらせます。
どちらのスキャンで見つかった問題も同じレポートに集約され、同じアラートへ広がります。スキャナーをマネージド WAF と組み合わせてライブ攻撃をブロックし、オンラインのリポジトリ・コードスキャンを実行して出荷前に秘密情報を捕らえ、稼働監視で可用性を見守りましょう。すべてをエディタから操作したいなら、セキュリティ MCP サーバーが同じスキャンを Claude と Cursor に提供します。
表層スキャン、深層ペンテスト、そして単発スキャナー。
単発のオンラインスキャナーは、レポートを1回渡すとそれきり黙り込みます。Defenso はスケジュールに沿ってサイトを採点し、チェック内容を最新に保ち、ファイアウォールや監視と同じアカウントに同居します。各プランの並びは次のとおりです。
| 単発スキャナー | Defenso 表層スキャン | Defenso 深層ペンテスト | |
|---|---|---|---|
| セキュリティヘッダー & TLS のグレード | ✓ | ✓ | ✓ |
| A から F のレターグレード | × | ✓ | ✓ |
| 露出した .env / .git & 漏えいの点検 | 場合による | ✓ | ✓ |
| 毎日更新される脆弱性データベース | × | ✓ | ✓ |
| 問題ごとの平易な修正案 | × | ✓ | ✓ |
| ポートスキャン & 管理面の列挙 | × | × | ✓ |
| SPA 向けのレンダリング済みページクロール | × | × | ✓ |
| スケジュール実行、新規問題でアラート | × | ✓ | ✓ |
| 無料プラン、カード不要 | — | ✓ | × |
はい。表層ペンテストは無料で、サイトごとに月1回、カード不要で実行できます。ヘッダー、TLS、公開領域を採点し、A から F のスコアと、問題ごとの修正案を返します。ポートスキャン、管理面の列挙、レンダリング済みページのクロールを加える深層ペンテストは、Max プランで利用できます。
表層スキャンは数秒で終わります。稼働中の URL に向けると、動いているサイトを探り、すぐ動ける採点済みレポートを返します。深層ペンテストは、レンダリング済みページをクロールしてサービスを列挙するため、もう少し時間がかかります。
ヘッダー、TLS、露出、既知の脆弱性にわたって、サイトがどう採点されたかを1つにまとめた要約です。A はチェックをきれいに通過したことを意味します。低いグレードは具体的な問題を指し示し、それぞれに変更すべき正確な設定やファイルが添えられます。項目を直して再スキャンすれば、グレードが動きます。
いいえ。スキャナーは、ブラウザや攻撃者と同じように公開領域を読むだけです。アプリケーションを変更することはなく、Defenso 全体がフェイルオープンなので、スキャン中もプラットフォームの何かが訪問者とサイトの間に立つことはありません。
スキャンを実行するだけなら不要です。URL を入力すると採点済みレポートが得られます。スキャンと並行してマネージド WAF にライブ攻撃をブロックさせたい場合は、1行で導入でき、同じアカウントでファイアウォール、監視、リポジトリスキャンをまとめて動かせます。
コードスキャナーはソースを読みます。こちらは実際に動いているサイトをスキャンするので、本番環境にしか存在しない設定ミスのヘッダー、期限切れの TLS、露出ファイル、開いた管理パスを捕らえます。両方やりましょう。こちらをオンラインのリポジトリ・コードスキャンと組み合わせれば、ソースからサーバーまで隙なくカバーできます。