説明用の見本です。実在のサイトの診断結果ではありません。example.com は説明用に予約された名前です。このページから点検や送信は行いません。
架空のサイト「サンプル商店」を点検したという想定で、結果の画面と依頼文を体験できます。項目ごとに、社長が読む説明と、制作担当者が読む手順を切り替えられます。直したい項目を選ぶと、制作会社や AI に渡せる依頼文になります。
www.example.com項目の文は、実際の結果の画面と同じ文です。深刻度・日時は見本の値です。
チェックを付けた項目を依頼文に入れます。
高すぐに対応見本
SSL 証明書の期限が近い対象: https://www.example.com/
サイトの暗号化に使う証明書の期限が14日を切っています。自動更新が動いていれば期限の前に新しくなりますが、更新が止まっていると期限の日にブラウザに警告が出て、お客様がサイトを開きにくくなります。
ブラウザの鍵のマーク、または openssl s_client -connect www.example.com:443 -servername www.example.com で証明書の期限を見る。
証明書を更新する。自動更新（Let's Encrypt など）が止まっていないか、レンタルサーバの設定を確かめる。
新しい証明書の期限が14日より先になっていること。
この項目の根拠: Internet X.509 Public Key Infrastructure Certificate and CRL Profile（RFC 5280）（IETF）
中今週中に対応見本
フォルダの中身の一覧が見える対象: https://www.example.com/wp-content/uploads/
画像などを置くフォルダの中身が、一覧で見える状態です。公開するつもりのないファイルまで見つけられてしまいます。
https://www.example.com/wp-content/uploads/ を開き、「Index of」で始まるファイルの一覧が出るかを見る。
Web サーバーの設定でフォルダの一覧表示を止める（Apache: .htaccess に Options -Indexes、nginx: autoindex off）。レンタルサーバの管理画面に一覧表示の設定があれば、そちらも切る。
https://www.example.com/wp-content/uploads/ の一覧が出ない（403 か空のページ）こと。
この項目の根拠: CWE-548: Exposure of Information Through Directory Listing（MITRE（CWE））／安全なウェブサイトの運用管理に向けての20ヶ条（13 ファイル、ディレクトリへの適切なアクセス制御）（IPA）
低次にサイトを直すときに対応見本
外部プログラムの読み込み元を制限する設定がない対象: https://www.example.com/
ページが読み込んでよい外部のプログラムを制限する設定がありません。改ざんされたときの被害を小さくする備えです。
curl -sI https://www.example.com/ に Content-Security-Policy が無いことを見る（<meta http-equiv="Content-Security-Policy"> も見る）。Content-Security-Policy-Report-Only だけが入っていれば、報告だけのモードは入っている。
まず Content-Security-Policy-Report-Only で、今読み込んでいる外部の読み込み元を洗い出してから、Content-Security-Policy を付ける。
ヘッダーが付き、ページの表示・フォームの送信・計測タグが壊れていないこと。
この項目の根拠: Content-Security-Policy (CSP) ヘッダー（MDN）
参考参考？ 確かめられなかった見本
メールの電子署名の設定を、外から確かめられなかった（参考）対象: https://www.example.com/
メールの電子署名の設定を、外から確かめられませんでした。よく使われる名前の範囲では見つけられず、名前が違うと外からは見つけられません。サイトの設定の「メールの電子署名の名前（セレクタ）」に、メールの送信サービスで使っている名前を入れると確かめられます。
送信サービスの管理画面で、メールの送信元のドメイン（www.example.com の登録ドメイン（先頭の www. を除いた名前）か、mail.<登録ドメイン> などその下のサブドメイン）と DKIM のセレクタを確かめ、dig TXT <selector>._domainkey.<送信元のドメイン> を実行する。
送信サービス側で署名が有効でなければ、サービスの手順で DKIM を有効にする。LP-Patrol のサイト設定の「メールの電子署名の名前（セレクタ）」に、セレクタ（例: resend）か、サブドメインから送るときは管理画面に出る記録の名前（例: resend._domainkey.mail）を1行に1つ、5つまで入れる。
dig TXT <selector>._domainkey.<送信元のドメイン> に v=DKIM1 か p= を含む記録が返り、次の見張りでこの項目が出なくなること。
環境ごとの注意: 公開のリゾルバー（1.1.1.1・8.8.8.8）で確かめている。変更の反映（TTL）で数時間ずれることがある。
この項目の根拠: DomainKeys Identified Mail (DKIM) Signatures（RFC 6376）（IETF）
承知済みの項目のチェックは、下の「承知済みの項目も参考として入れる」を付けたときだけ出ます（アプリと同じ）。
中今週中に対応承知済み（通知を止めています。直ったという意味ではありません）見本
WordPress の管理画面の入口が誰でも開ける対象: https://www.example.com/wp-login.php
承知済みの期限: 2027年10月26日まで（見本の値）
サイトの管理画面のログインページが、誰でも開ける状態です。パスワードの総当たりを受けやすくなります。
社外の回線（スマホの回線など）から https://www.example.com/wp-login.php を開き、ログイン画面が出るかを見る。
次のどれかで守る。(1) wp-login.php に Basic 認証を重ねる（wp-admin/admin-ajax.php は除く）。(2) SiteGuard WP Plugin の「ログインページ変更」などでログインの住所を変える。(3) 二段階認証を入れる。接続元の IP で絞る方法・ログイン試行回数の制限は、前段にプロキシがある環境（さくらのレンタルサーバ等）では全員が同じ接続元に見えて効かない（または全員が締め出される）ため、サーバーのアクセスログに実際の接続元 IP が記録されることを確かめてから使う。管理者のパスワードは長い乱数にする。
社外の回線から https://www.example.com/wp-login.php を開くと、ログイン画面の前に拒否されるか Basic 認証が出ること。
環境ごとの注意: さくらのレンタルサーバなど前段にプロキシがある環境では、.htaccess の REMOTE_ADDR による IP 制限・回数制限が効かない（接続元がすべて前段のサーバーに見える）。IP で絞らず、全面拒否か Basic 認証で守る。
この項目の根拠: Brute Force Attacks（WordPress 公式（developer.wordpress.org））／Hardening WordPress（WordPress 公式（developer.wordpress.org））
？ 確かめられなかった（「問題なし」ではありません）見本https://www.example.com/contact/
アクセスが止められたため、このページは確かめられませんでした（WAF やボット対策で止まっている可能性があります）。点検の方法のページにある送信元 IP を許可すると確かめられます。
この状態は結果の画面に出すもので、依頼文には入りません。
「この項目の根拠」は、項目に関連する公式の資料です。資料の発行元が、このサイトの状態を確かめたわけではありません。
直したい項目にチェックを入れてください。チェックした項目が依頼文に入ります。
項目を選んでいないため、コピー・保存はできません。
アプリとの違い（見本だけの動き）:
依頼文にはサイト名と URL が入ります。組織名・メールアドレス・対応のメモは入れていません。AI や制作会社に渡す前に中身をご確認ください。このページから外部へ送信することはありません。