SITE RADAR Security & Operations Whitepaper

SITE RADAR セキュリティ・運用ホワイトペーパー

発行：株式会社ミカド
対象サービス：SITE RADAR
文書区分：公開版
改訂日：2026年8月25日

1. はじめに

SITE RADARは、Webサイトの外部公開状態を継続的に監視・可視化するSaaSサービスです。Webサイトの可用性、HTTP応答、TLS証明書、セキュリティヘッダー、DNS・メール認証、公開設定などを定期的に確認し、変化や注意すべき兆候をレポートと通知で提供します。

本サービスは、監視結果の一貫性、安定した継続監視、適切なアクセス制御および安全な開発・運用を重視して設計しています。本書では、公開可能な範囲でSITE RADARの基本的な設計方針とセキュリティ対策を説明します。

適用範囲と免責事項
SITE RADARが提供する評価は、監視時点に外部から確認できた情報に基づくものです。対象サイト内部のすべての脆弱性、侵害の有無または将来の安全性を証明・保証するものではありません。また、本書に記載する対策はリスク低減を目的とするものであり、あらゆる攻撃の完全な防止や脆弱性の不存在を保証するものではありません。提供機能、評価項目および適用する対策は、契約プラン、対象環境、外部サービスの仕様変更などにより異なる場合があります。

2. サービスアーキテクチャ

SITE RADARは、エッジ層、アプリケーション層、監視・評価処理およびデータ管理層を役割ごとに分離し、各境界で必要な制御を適用する多層構成を採用しています。

2.1 エッジおよび通信の保護

HTTPSを用いて通信経路を暗号化し、利用環境との互換性を考慮しながら安全なTLS設定を維持します。
WAF、DDoS緩和、レート制御などのエッジ機能を組み合わせ、不正または過剰な通信がアプリケーションへ与える影響の低減を図ります。
オリジンへの到達経路と公開範囲を制限し、不要なインターフェースや管理機能を外部へ公開しない方針で運用します。

2.2 アプリケーション境界の保護

リクエストの形式、型、長さおよび許容値を検証し、不正な入力を処理の早い段階で拒否します。
エラー応答では、利用者に必要な情報を示しつつ、内部構成、認証情報、デバッグ情報などの不要な開示を抑制します。
外部サービスへの通信には、タイムアウト、再試行上限、同時実行数の制御および例外処理を適用します。

具体的なネットワーク構成、内部ホスト名、管理用経路、製品バージョンおよび防御ルールは、攻撃面の拡大を避けるため本書では公開しません。

3. 評価ロジックとデータの一貫性

SITE RADARでは、セキュリティグレード、各種ステータス、TLS証明書の期限判定、DNS・メール認証の評価およびAIクローラー関連の判定など、共通する評価ロジックを管理された処理層へ集約しています。

ダッシュボード、公開バッジおよびレポートは、同一の監視結果と評価基準を参照します。これにより、表示経路ごとの判定差異を抑え、評価基準の変更時にも一貫した更新を行えるようにしています。

データを取得できていない場合、処理中の場合または判定に必要な条件を満たさない場合は、推測値で補完せず、「巡回待機中」「取得不能」「評価対象外」など状態を区別して表示します。

4. セキュア開発と多層防御

機能追加および変更時には、リスクに応じた脅威分析、コードレビュー、テストおよびリリース判定を実施します。主な確認領域は次のとおりです。

確認領域	主な対策方針
認証・認可	リクエスト単位で利用者、テナント、対象オブジェクトおよび操作権限を検証し、BOLA／IDORを含む不正な参照・変更の防止を図ります。
入力検証・安全な出力	許容形式、型、長さおよび値域を検証します。出力先に応じたエンコーディング、パラメータ化クエリなどを用いて、XSSやインジェクションのリスクを低減します。
リソース制御	リクエストサイズ、処理時間、同時実行数、取得件数および再試行回数に上限を設け、過剰利用やリソース枯渇の影響を抑制します。
競合・整合性	必要に応じてトランザクション、排他制御、冪等性または重複排除を適用し、同時処理による不整合を防ぎます。
機密情報の保護	認証情報や秘密情報をソースコードおよび公開コンテンツから分離し、アクセス権限と保管範囲を必要最小限にします。
ログ・監視	セキュリティ上重要な操作や異常を追跡できるよう記録し、ログに秘密情報や不要な個人情報を残さないよう制御します。

これらの対策では、OWASP Application Security Verification Standard（ASVS）およびOWASP API Security Top 10などを参考に、対象機能とリスクに応じた検証項目を選定します。

5. 継続監視と安定運用

多数の監視対象を継続的に確認するため、SITE RADARはバックグラウンド処理、キューイングおよび負荷制御を組み合わせています。

非同期処理：時間を要する外部通信を画面処理から分離し、監視タスクを順次実行します。
負荷の平準化：同時実行数、送信間隔、再試行回数およびバックオフを制御し、SITE RADARと監視対象の双方に過度な負荷を与えないよう配慮します。
識別可能な巡回：監視通信では適切な識別情報を用い、対象サイトの利用条件、アクセス制御および適用されるポリシーを尊重します。
障害の分離：接続タイムアウト、例外処理およびタスク単位の失敗制御により、特定の監視対象で発生した遅延や障害が他の処理へ連鎖する可能性を低減します。
通知制御：異常の初回検知、継続および復旧を区別し、同一事象に対する過剰な通知を抑えます。

監視頻度や通知条件は、契約内容、対象項目および運用方針に応じて設定されます。

6. AI・機械可読インターフェースへの対応

SITE RADARは、Web上の情報をソフトウェアやAIシステムが適切に解釈できるよう、標準仕様と公開範囲を確認しながら機械可読性の向上に取り組んでいます。

構造化レポート：対応する提供経路では、監視結果をMarkdownなどの機械処理しやすい形式で出力します。
クローラーポリシーの評価：robots.txtをRFC 9309に基づいて解析し、主要なクローラーに対する実効ルールを可視化します。robots.txtはアクセス認可の仕組みではなく、クローラーに対する巡回方針の表明として扱います。
APIディスカバリー：公開APIを提供する場合は、RFC 9727およびRFC 9264などの仕様を参照し、公開を意図した情報だけを機械可読な形で提示します。
新しい連携仕様：MCP Server CardやAgent Skillsなど、標準化または普及過程にある仕様は、正式な標準と区別して検証します。互換性、安全性および仕様の成熟度を確認したうえで段階的に採用します。

AIクローラーの挙動は各サービス提供者の仕様と判断に依存します。SITE RADARによる設定・評価は、特定サービスによる収集、学習、引用、掲載または検索順位を保証するものではありません。

7. サイトシールと検証ページ

SITE RADARは、監視対象サイトに設置できるサイトシールと、監視結果を確認するための検証ページを提供します。

サイトシールに含まれる公開識別子だけで管理操作や非公開データへアクセスできない設計とし、サーバー側で対象サイトとの対応関係を検証します。
検証ページには、対象ドメイン、評価時点、確認できた項目およびステータスを表示します。
サイトシールおよび検証ページは、表示時点の外部監視結果を示すものであり、対象サイトに脆弱性が存在しないことや将来の安全性を保証する認証・証明ではありません。

データの一括登録・更新では、形式検証、重複制御、処理件数の制限および非同期処理を適用します。レポート生成に一時ファイルを使用する場合は、保存期間とアクセス範囲を必要最小限とし、処理後は定められた手順に従って削除します。

8. データ保護と情報開示

SITE RADARでは、サービス提供に必要な情報のみを取り扱い、目的に応じてアクセス範囲を制御します。

利用者、テナントおよび権限に基づいてデータへのアクセスを制御します。
通信経路の暗号化と、機密性に応じた保存データの保護を行います。
運用担当者を含むアクセス権限を必要最小限とし、付与・変更・失効を管理します。
公開レポート、サイトシール、APIカタログなどへ、内部用URL、秘密情報、個人情報または公開を意図しないメタデータを含めないよう確認します。
セキュリティ上の理由から、内部構成、防御ルール、監視閾値、秘密情報の管理方法および脆弱性に直結する詳細は公開しません。

データの取扱範囲、保存期間、委託先その他の条件は、利用規約、プライバシーポリシー、契約書または個別のサービス仕様に従います。

9. 継続的改善と保証範囲

Web標準、TLS、ブラウザ、DNS、メール認証および主要なクローラーの仕様は継続的に変化します。SITE RADARでは、これらの変更と新たな脆弱性情報を確認し、評価基準、監視処理およびセキュリティ対策の見直しを行います。

主な運用・改善項目は次のとおりです。

システム構成、権限およびアクセス制御の見直し
TLS、DNS、メール認証およびHTTPセキュリティヘッダーの評価ロジックの更新
バックアップおよび復旧手順の確認
応答性能、処理遅延、エラー率および監視タスクの稼働状況の確認
自動巡回、レポート生成および通知プロセスの動作確認
依存コンポーネントと脆弱性情報の確認

本書は公開時点の方針を説明するものであり、個別契約におけるサービスレベル、保証、補償または法的義務を追加するものではありません。