LEVEL 1: EXECUTIVE SUMMARY (経営者・管理者向け概要)
【本レポートの位置づけと活用方法】
- 一次評価資料としての定義: 本レポートは、指定Webサイトのパブリック開示情報（HTTPヘッダー、パブリックDNS、TLS証明書、代表的既知パス）を非破壊で観測し、設定上の注意点や追加確認候補を提示する【一次評価資料 (External Web Security Baseline Report)】です。
- 評価の限定性: Webアプリケーション内部のプログラム脆弱性（SQLi/XSS等）、不正アクセスの可否、特権アカウントの多要素認証（MFA）設定、管理アカウントの安全性、改ざん検知・復旧能力を直接判定するものではありません。
- 活用ガイド: 本観測結果は、Webサイト管理者、セキュリティ専門家、またはレポート分析用AIに対する対策判断用の標準化インプット資料としてご活用ください。本レポートは SITE RADAR SaaS の定期外形監視で生成された一回分の観測結果です。
1. 外形ポスチャー総合評価 (定性観測)
| 評価カテゴリー | ポスチャースコア / ステータス | 評価種別 ＆ 解説 |
|---|
| 外形基準達成スコア | 100 / 100 点 (Grade: A+) | SITE RADAR が定義する外形観測基準の到達度 (HTTP/SSL/Mail/Git 総合) |
| AI Web Readiness | AI Guidance Ready | AI-Bot Control & Content Guidance (クローラー制御方針とAI向け案内の双方を確認) |
[Guide] スコアリング算定モデル概要
- 外形基準達成スコア (100点満点・事前定義ルールによる減点方式): 必須ヘッダー欠落 (各-25pt)、推奨ヘッダー欠落 (各-5pt〜-10pt)、DNS/メール認証未設定 (各-5pt) をベースに算定する定量指標。※ .git 露出時はD判定に強制ロック。
- スコアの技術的範囲: 本スコアは本サービスが定義する外形観測項目の到達度を示す数値であり、Webアプリケーション内部の脆弱性が存在しないこと、あるいは Content-Security-Policy の完全な制限強度を保証するものではありません。
- Grade A+ 獲得の制約条件: スコア95点以上であっても、CSP内に
unsafe-inline または unsafe-eval が検知された場合は、XSS緩和効果の低下リスクを考慮し Grade A に適用キャップが施されます。
- AI Web Readiness (非スコア型・設定状況観測シグナル): AIクローラーに対する「アクセス制御方針 (robots.txt)」および「AI向け構造化案内 (llms.txt)」の準備状況を示す独立シグナル。AI Guidance Ready 判定条件: /robots.txt が正常取得・解析可能であり、かつ /llms.txt が正常取得可能であること。※本ステータスは公開されたAI向け案内情報の存在を示す観測シグナルであり、実際のクロールや学習を強制・保証するものではありません。
2. コンポーネント別外形観測ステータス
| 監視ドメイン属性 | 診断ステータス / スコア |
|---|
| サーバー死活状況 | 有効 (200 OK) (応答: 45 ms) |
| HTTP Security Headers 外形基準達成度 | 100 / 100 点 |
| SSL / TLS Certificate | 証明書期限内 (約88日残) |
| Email Security (DNS) | 10 / 10 点 |
| Git Repository Exposure | アクセス拒否応答を確認 (403 Blocked) |
3. Priority Action List (対応主体別 改善ガイダンス)
- Note: Priority Action List には、外形基準達成スコアに直接影響しない設定上の注意事項・情報シグナルも含まれます。本外形観測は非破壊の確認のみを実施しており、状態変更操作は行っておりません。
[対応主体: Webサーバー / サイト管理者] CSP が互換性重視・緩和型として観測されています
- 観測内容: CSP構文解析により緩和型として判定
- 影響: 許可範囲が広いCSP構成では、XSS等に対するCSPの緩和効果が低下する可能性があります
- スコアインパクト: 最高位 Grade A+ の適用制約条件に該当（改修で A+ 獲得可能）
- 推奨対策: 実際に観測された許可要素を確認し、必要に応じて nonce / hash や許可元の限定を検討してください。
LEVEL 2: TECHNICAL EVIDENCE (エンジニア向け詳細証跡データ)
1. SITE RADAR Security Header Observation & Recommended Controls
| ヘッダー名 | 診断結果 | 判定区分 | 技術的役割 ＆ 推奨標準 |
|---|
| Content-Security-Policy | 設定済 (互換性重視・緩和型) | 主要設定項目 (High-value) | XSSおよび不正スクリプト実行制限 (観測: CSP構文解析により緩和型として判定) |
| Strict-Transport-Security | 有効 | 主要設定項目 (High-value) | 強制HTTPS接続およびダウングレード防御 |
| X-Frame-Options | SAMEORIGIN | 推奨項目 (Recommended) | クリックジャッキング埋め込み防御 |
| X-Content-Type-Options | nosniff | 推奨項目 (Recommended) | MIMEタイプ誤認識（スニッフィング）封殺 |
| Referrer-Policy | strict-origin-when-cross-origin | 推奨項目 (Recommended) | 遷移先へのトークン・URL漏洩防止 |
| Permissions-Policy | 設定済 | 推奨項目 (Recommended) | ブラウザ機能（カメラ・マイク等）アクセス制御 |
| Cross-Origin-Opener-Policy | same-origin | 条件付き (Conditional) | SharedArrayBuffer等クロスオリジン隔離用 |
| X-XSS-Protection | 未設定 (非推奨: CSP推奨) | 非推奨 / 評価対象外 | レガシーヘッダー（減点対象外・CSP推奨） |
| Secure Cookie Attribute | N/A — Cookieなし | 条件付き (Conditional) | HTTPS限定送信制限 |
| HttpOnly Attribute | N/A — Cookieなし | 条件付き (Conditional) | JS経由のCookie奪取遮断 |
| SameSite Attribute | N/A — Cookieなし | 条件付き (Conditional) | CSRF攻撃に伴う自動送信制御 |
2. 次世代クロスオリジン ＆ 応答サーバー識別証跡
| 属性名 | 診断ステータス |
|---|
| Cross-Origin-Embedder-Policy (COEP) | 未実装 |
| Cross-Origin-Resource-Policy (CORP) | 未実装 |
| Network-Error-Logging (NEL) | {"report_to":"cf-nel","success_fraction":0.0,"max_age":604800} |
| Report-To | {"group":"cf-nel","max_age":604800,"endpoints":[{"url":"https://..."}]}
＊サンプルなので伏せ字になっています |
| Server Response Signature | cloudflare |
3. 代表的Gitメタデータ露出監査 (代表的な4パス)
| 対象パス | 露出ステータス | 検証内容 |
|---|
| /.git/HEAD | アクセス拒否応答を確認 (403 Blocked) | リポジトリの公開露呈検証 |
| /.git/config | アクセス拒否応答を確認 (403 Blocked) | リモート接続トークン漏洩検証 |
| /.git/index | アクセス拒否応答を確認 (403 Blocked) | ファイル構造インデックス解読検証 |
| /.gitignore | アクセス拒否応答を確認 (403 Blocked) | 機密設定パス推測リスク検証 |
4. SSL/TLS 証明書最深部レコード
| 項目名 | 取得エビデンスデータ |
|---|
| 有効期限（状態評価） | 証明書期限内 (約88日残) |
| 満了日時 (Valid To) | 2026-12-18 |
| 発行日時 (Valid From) | 2026-09-19 |
| 発行CA (Common Name) | WE1 |
| 発行CA (Organization) | Google Trust Services LLC |
| 暗号化プロトコル | TLS 1.3 |
| 暗号化スイート | TLS_AES_256_GCM_SHA384 |
| フィンガープリント (SHA-256) | 未取得 (今回の観測対象外) |
5. DNS / メールセキュリティ生レコード証跡
| DNSレコード種別 | Lookup Selector | 宣言生データ (Public DNS) |
|---|
| SPF Record | – | v=spf1 ip4:xxx.xxx.... ip6:0000:0000:... include:sample.jp ~all
＊サンプルなので伏せ字になっています |
| DMARC Record | _dmarc. | v=DMARC1; p=quarantine; pct=100; |
| DKIM Public Key | x._domainkey. | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQ... |
| MTA-STS Record | _mta-sts. | v=STSv1; id=20260801000000; |
| BIMI Record | default._bimi. | 未検出 |
| TLS-RPT Record | _smtp._tls. | v=TLSRPTv1; rua=mailto:[email protected] |
6. AI Web Readiness / AI-Bot Access Policy Analysis (RFC 9309 Section 2.2 準拠)
| AI エージェント / Bot名 | 運用組織 ＆ 属性 | 観測結果 / 既定動作 (RFC 9309) |
|---|
| GPTBot | OpenAI Web Crawler | Allow (RFC 9309評価上の実効許可) |
| ClaudeBot | Anthropic AI Crawler | Allow (RFC 9309評価上の実効許可) |
| Applebot | Apple Search & AI Bot | Allow (RFC 9309評価上の実効許可) |
| Google-Extended | Google AI Extended Control | Allow (RFC 9309評価上の実効許可) |
| CCBot | Common Crawl Corpus Bot | Allow (RFC 9309評価上の実効許可) |
| Bytespider | ByteDance Crawler | 原則許可（当該Bot専用ルールは未検出。User-agent: * の一般ルールが適用され、検索系パスや /wp-json/ 等は制限） |
AI リソース設置状況
| 項目 | ステータス |
|---|
| llms.txt 設置状況 | 設置済み (200 OK) |
| robots.txt 構造化 | 正常取得・RFC 9309解析済み |
llms.txt 回収テキスト
# SITE RADAR（サイトレーダー） | 自律型Webインフラセキュリティ監視プラットフォーム
> Webサイトのセキュリティ・SSL・メール認証・AIクローラー対応を、24時間365日自動監視する外形セキュリティ監視SaaSです。
## 主な機能
- Webサイトの死活・応答状態を24時間365日継続監視
- HTTPセキュリティヘッダーを外形監査し、A+〜Fでレーティング
- SSL/TLS証明書・暗号化通信の状態と有効期限を継続監視
- SPF・DKIM・DMARC等のDNSメール認証を外形監査
- Gitリポジトリ等の公開露出を外形監査
- robots.txt・llms.txt等のAIクローラー対応状況とアクセス制御ポリシーを可視化
- [4カテゴリー・全監査項目を統合し、Security ScoreとGradeでセキュリティ状態を可視化](https://siteradar.jp/siteradar-categories-26items/)
- [週次診断レポートのサンプル](https://siteradar.jp/md-report-sample/)
- [セキュリティ・運用ホワイトペーパー](https://siteradar.jp/security-operations-whitepaper/)
## 公式URL
- Website: https://siteradar.jp
robots.txt 回収パケット生データ
# SITE RADAR AI-Bot Readiness Rules
User-agent: GPTBot
Allow: /
User-agent: ClaudeBot
Allow: /
User-agent: Applebot
Allow: /
User-agent: Applebot-Extended
Allow: /
User-agent: Google-Extended
Allow: /
User-agent: CCBot
Allow: /
User-agent: Omgilibot
Allow: /
User-agent: anthropic-ai
Allow: /
User-agent: *
Disallow:
Sitemap: https://siteradar.jp/sitemap_index.xml
7. 免責事項 (Disclaimer)
- 外形的監査の定義: 本レポートは対象ドメインからパブリックに開示されているHTTPヘッダー、DNSレコード、SSL/TLS証明書等の外形情報のみに基づく定性評価結果です。非破壊のGETリクエストのみを実施し、状態変更操作は一切行っておりません。
- 安全性の非保証: 本外形観測は、サーバー内部のバグ、ソースコードの脆弱性、特権アカウントの管理状況を網羅検証するペネトレーションテスト（侵入テスト）を代替するものではなく、対象Webサイトの完全な安全性を保証するものではありません。
- SaaS監視レポート: 本レポートは SITE RADAR SaaS の定期外形監視により生成されています。
- 免責規律: 本レポートの情報に基づいて実施された設定改修およびセキュリティ対策により生じた直接的・間接的損害について、運営者は一切の法的責任を負いません。最終的な設定・防衛判断は自らの責任において執り行ってください。