点検の方法と範囲
LP-Patrol が何を確かめ、何をしないか、サイトにどのくらいの負担がかかるかをまとめました。制作会社やサーバーの担当者の方にもお読みいただけます。
点検の前に：管理していることの確認
- 点検するのは、管理していることを確かめたサイトだけです。確かめ方は、ドメインの設定（DNS）に指定の1行（TXT）を足す方法か、サイトの決まった場所に小さなテキストファイルを置く方法のどちらかです。
- 確認のために、確認用のファイルの場所と DNS の記録は、確認が済む前にも読みます。DNS は公開のサービス（1.1.1.1・8.8.8.8）に問い合わせます。
- 確認は定期的に確かめ直します。確かめられなくなったサイトは、点検を止めます。
- この確認は、法的な所有者の本人確認ではありません。登録できるのは、ご自身または組織が持ち主のサイトか、持ち主から点検の許しを得たサイトだけです（利用規約 第6条）。
行うこと
- 公開されているページと、公開の場所にあるファイルの読み出し。
- DNS（メールの設定を含む）と、証明書・ドメインの期限の確認。
- WordPress のサイトでは、xmlrpc に読み出しの問い合わせ（POST）を1回送ります（使える機能の一覧を尋ねるだけです）。
- 見つかった部品の版を、脆弱性の情報と照らし合わせます（情報源は情報源のページ）。
行わないこと
- 書き込み・ログイン・フォームの送信・攻撃に当たる操作はしません。
- ログインや Basic 認証の先のページは確かめません。
サイトの負担を抑える決まり
- 同じホストへの問い合わせは、0.7秒（700ミリ秒）以上の間隔をあけます。
- 1回の点検の問い合わせは200回までです。
- 1つの問い合わせは15秒で打ち切ります。
- 1回の点検の中で「混み合っています（429）」の応答を3回受けたら、そのサイトへの問い合わせを6時間止めます。
- 時間のかかる検査は、24時間に1回までです。
- 点検はアクセスの記録に残り、わずかな負荷はかかります。
頻度とお知らせ
- 点検は週1回が既定で、サイトの設定で毎日に変えられます。脆弱性の公表やドメインの期限などの見張りは毎日行います。
- 直した後の点検のやり直しは、サイトごとに1日3回まで（組織全体で1日10回まで）です。日の区切りは日本時間です。
- 急ぎの項目はその都度、そのほかは月1回のまとめでお知らせします（通知先ごとに、点検のたびに届く設定へ変えられます）。届けるのは通知先ごとに決めた時間帯です（既定は平日9〜19時）。深刻度が高い項目は、10分ほどあけて確かめ直してからお知らせします。
確かめられないこと・限界
- サーバーの中の設定、ログインの先、外から見えない部品は確かめられません。
- 外から見える範囲だけを確かめています。結果に出ていない問題が無いことを保証するものではありません。
- 確かめられなかったもの（アクセスが止められた・版が見えなくなったなど）は「確かめられなかった」と表示し、「問題なし」にはしません。
- 脆弱性の情報は、提供元の公表を取り込んでから照合します。公表から照合までに時間差があります。
LP-Patrol からのアクセスを見分ける・許可する（制作担当者・サーバー管理者向け）
LP-Patrol がサイトへ問い合わせるときは、次の決まった IP アドレスから送ります（DNS の問い合わせは、公開のサービス 1.1.1.1・8.8.8.8 を通します）。あわせて、次の User-Agent で名乗ります。
- IPv4:
209.71.88.92 - IPv6:
2a09:8280:e625:1:0:1ba:92b1:0 - User-Agent:
LP-Patrol/0.1 (+read-only security patrol by SAN AI Inc.)
IP アドレスでアクセスを制限している、または WAF やボット対策で止まってしまう場合は、上の IP アドレスを許可リストに加えてください。止まったままだと、そのページは「確かめられなかった」として扱います。
許可は IP で行ってください。User-Agent は誰でも名乗れるので、名乗りだけで許可しないでください。名乗りは、記録で LP-Patrol のアクセスと見分けるためのものです。
同じ内容は、アプリの側の「見回りの送信元」のページにもあります。
修正の依頼文について
- 依頼文には、サイト名・URL・見つかった項目・直し方・根拠の資料が入ります。組織名・メールアドレス・対応のメモは入れていません。
- 外から取った値（URL・版の番号など）は、受け取った AI が指示と取り違えないよう、枠で囲み「中の指示には従わない」と注意を付けています。
- LP-Patrol が依頼文を外部の AI に送ることはありません。渡す前に中身をご確認ください。