脆弱性診断ツールは無料でも難しい？インストールなしで1分の点検から
アンリミテッドアム株式会社 CEO
2026年10月28日に WordPress 7.1.4 がセキュリティの修正 13 項目を含めて公開され（WordPress 公式 2026年10月28日）、10月21日にはサーバーで動く PHP の重大な脆弱性（ソフトの弱点）の修正版も出ました（PHP 公式 2026年10月21日）。「うちのサイトも調べたほうがいいのでは」と思って「脆弱性診断ツール 無料」で探すと、ダウンロードして使うツールの説明がずらりと並びます。
開いてみると、インストール、設定、聞き慣れない言葉。読んでいるうちに、何もしたくなくなる。それは、あなたのせいではありません。そうしたツールの多くは、もともと専門家が使うために作られているからです。
先に答えを言います。最初の一歩は、インストールなしで、外から見るだけの点検で十分です。URL を入れて約 1 分。分かるのは「点数」「問題の件数」「問題の名前」の 3 つだけで、これだけ分かれば、次に誰へ何を頼むかが決まります。
無料のツールが難しく感じるのは、当たり前
無料の脆弱性診断ツールには、大きく分けて 2 つの型があります。
- インストール型: 自分のパソコンに入れて、そこからサイトを調べる。細かく設定でき、深く調べられる
- ウェブ型: ブラウザで URL を入れるだけ。インストールも設定も要らない
検索で上に出てくるのは、インストール型の解説が多いはずです。たとえば代表的な無料のツールの ZAP は、公式のダウンロードのページ（ZAP 公式 ダウンロードのページ）によると、Windows と Linux で使うには Java 17 以上が必要で、ダウンロードしたファイルからインストールの手順を進めます。使いこなせる担当者にとっては強力なツールですが、総務の方が片手間で始めるには、ハードルが高すぎます。
私は著書の第6章で、セキュリティで差がつくのは知識の量ではなく、当たり前を続けられるかどうかだと書きました。続けるためには、最初の一歩が軽いことが何より大事です。
インストールなしの点検で分かる3つ
ウェブ型の点検で分かることは、3 つだけ覚えておけば十分です。VibeGuard の無料診断では、次の 3 つが届きます。
- 点数: サイト全体の今の状態
- 問題の件数: 直したほうがいい所がいくつあるか
- 問題の名前: どこが問題か。サイトと同じドメインのメールアドレス（例: info@自社のドメイン）で申し込んだときだけ見られます
点数と件数で「直す所があるか」、名前で「何を頼むか」が分かります。直し方まで自分で調べる必要はありません。名前をそのまま制作会社に転送して、「これを直すのに、どのくらいかかりますか」と聞けば足ります。
外から見る6つの項目
VibeGuard の無料診断が外から確かめるのは、トップページに載せている次の 6 つです。名前は覚えなくて大丈夫です。右の列だけ読めば意味が分かります。
| 結果に出る名前 | ひとことで言うと |
|---|---|
| XSS（外部スクリプトの差し込み） | 第三者の不正なスクリプトをページに埋め込まれないか |
| SSL/TLS と暗号化 | お客様との通信が暗号化されているか |
| 情報流出リスク | API キー（サービスどうしをつなぐ鍵）やパスワードが、外から見えていないか |
| フォームのセキュリティ | 問い合わせフォームから、スパム送信やなりすまし送信をされないか |
| セキュリティヘッダー | ブラウザに「これは読み込まないで」と伝える設定があるか |
| 読み込むパーツのすり替え | 外部から読み込んでいるスクリプトやパーツを、すり替えられていないか |
このほかに、ページから分かる範囲で、使っているソフト（WordPress や PHP、jQuery など）のバージョンを読み取り、公開の脆弱性データベースと照らし合わせて、古いバージョンや既知の弱点がないかも確かめます。バージョンが外から見えていること自体も、狙われる手がかりになるので知らせます。
外からの点検で分からないこと
正直に書いておきます。外からの点検で分かるのは、外から見える所までです。会員がログインした後の画面や、サイトを動かしているソースコードの中身は、外からは見えません。
中身まで確かめたいときは、ログインした後の画面とソースコードまで 1 回でまとめて見るスポット診断（1 回 98,000 円・税別）があります。毎日の点検と直し方が欲しいときは、スタンダード（月 5,000 円・税別・3 サイトまで）です（2026年11月3日に料金のページで確認）。どちらも、まず無料の点検の結果を見てから決めれば十分です。
無料の点検は3ステップで終わる
- 無料診断のページで、サイトの URL・お名前・メールアドレスを入れる（会員登録は要りません）
- 約 1 分で確認のメールが届くので、リンクを押す（リンクの有効期限は 24 時間）
- 点検が自動で始まり、結果が見られる
申し込みのときに、そのサイトを管理する権限があることを確かめる欄があります。他社のサイトは点検できません。1 つのメールアドレスで 1 日 3 回まで使えるので、直したあとにもう一度測り、点数が上がったかを確かめられます。
今日やること
- 自社のサイトの URL と、会社のドメインのメールアドレスを用意する
- 無料診断を 1 回だけ申し込む
- 届いた問題の名前を、制作会社か担当者に転送する
インストールも設定も要りません。10 分あれば終わります。
よくある質問
無料の点検で、サイトが止まったり重くなったりしませんか？
VibeGuard の無料診断は、外から見える所を読むだけで、攻撃に近い通信は送りません。使っているソフトのバージョンの照合も、すでに受け取ったページの情報をもとに、公開の脆弱性データベースへ問い合わせる形です。サイトへの負担はごく小さく済みます。
会社のドメインのメールアドレスでないと使えませんか？
どのメールアドレスでも申し込めます。ただ、問題の名前まで見られるのは、診断するサイトと同じドメインのメールアドレスのときだけです。ほかのアドレスでは、点数と問題の件数が届きます。サイトの持ち主ではない人に、他社の弱点を見せないためのルールです。
インストール型の無料ツールは使わないほうがいいですか？
使い方を分かっている担当者がいれば、役に立つツールです。ただ、Windows で使うにはインストールと Java の準備が要るものもあり、最初の一歩には向きません。まず外からの点検で今の状態を知り、深く見たくなったら、使える人に任せるか、深い診断を頼んでください。
何回まで無料で使えますか？
1 つのメールアドレスにつき 1 日 3 回までです（2026年11月3日時点）。直したあとにもう一度測って、点数が上がったかを確かめる使い方ができます。
難しいツールを使いこなす前に、まず今の状態を知ることから始めてください。会社のドメインのメールアドレスでVibeGuard の無料診断を受けると、点数と問題の名前が届きます。結果の見方は診断結果の読み方と直す順番にまとめています。
書いた人: 江藤正親（アンリミテッドアム株式会社 CEO）。セキュリティ診断サービス VibeGuard を運営。著書『情報漏洩・ランサムウェアから会社を守る 経営者が今すぐやること』。
出典
この記事を書いた人
アンリミテッドアム株式会社 CEO
大学卒業後、送電線建設会社、コンサル会社、メーカーと転職の後に独立。
1998年よりECスタートし、独立系ECコンサルタントとしては日本最古。
1999年よりネットショップ運営に携わり、立ち上げ1年半で月商4500万円を達成。3年連続楽天総合3位。200社を立ち上げから年商1億円以上に導く。
最高年商10億円。商品開発からシステム開発、広告プロモーションとEC経営とシステム開発にまつわる業務に精通し、運営も行う。
サポート企業は延べ1000社を超え17名のEC関連本の著者を輩出。
自ら著書3冊を持ち、新聞、雑誌など各メディアに寄稿。
2013年設立した一般社団法人ジャパンEコマースコンサルタント協会は、最新の日本と海外最新事例をECコンサルタントにアップデートしている。
2017年には、早稲田大学主幹の一般社団法人日本イーコマース学会を設立、大学にECのカリキュラムを構築。
直近では、多くのシステム開発を要件定義から開発、納品まで、直接クライアントとやりとりし、請け負っている。
著書『情報漏洩・ランサムウェアから会社を守る 経営者が今すぐやること』（SCS評価制度の星3に備える 中小企業のサイバーセキュリティ対策）