登録不要・無料・URLだけ
30秒でわかる
WordPressサイト診断
公開情報から使用中のプラグイン・テーマを検出し、既知の脆弱性データベースと突き合わせます。
登録も設定もなし。URLを入れるだけで診断できます
アカウント作成、プラグインのインストール、管理画面へのログイン情報 — どれも必要ありません。入力するのは診断したいサイトのURL 1つだけです。
URLだけ・30秒
公開ページを読み取って、使われているプラグイン・テーマとそのバージョンを特定します。 メールアドレスの入力も任意です（結果は画面に出ます）。
CVE番号まで名指しで表示
「危険です」で終わらせません。どの拡張のどのバージョンが、 どの脆弱性（CVE）に該当し、どのバージョンに上げれば解消するかまで出します。
分からないものは「不明」と表示
バージョンが特定できない拡張は判定しません。危険と決めつければ問い合わせは増えますが、 確認したときに嘘だと分かる指摘は信用を失います。
30秒の内訳
診断は3つの工程で動いています。どこで何をしているかを開示しておきます。
- 検出トップページと数ページを読み込み、読み込まれているアセットのパスからプラグイン・テーマを特定します。
- バージョンの確定
readme.txtの Stable tag を優先し、取れない場合はアセットの?ver=を参考値として扱います。どちらも取れなければ「不明」とし、判定しません。 - 突合と採点確定したバージョンを脆弱性データベースの影響範囲と照合し、悪用実績・悪用確率で優先順位をつけて並べます。
診断内容
外部から見える情報だけを使って、2つの方向から確認します。
既知脆弱性の突合
検出した拡張のバージョンを、公的データベースの脆弱性情報と1件ずつ照合します。 該当した場合は、CVE番号・深刻度・悪用の実績・修正版を表示します。
外部からの見え方
攻撃の下調べに使われる情報が、公開状態になっていないかを確認します。 見えている時点でリスクという位置づけです。
できないことも書いておきます
外部から見える情報のみを使うため、以下は検出できません。
- 管理画面でのみ動作し、フロントに出力されないプラグイン
- バージョンを意図的に隠している場合の正確な版数（この場合は「不明」と表示し、判定しません）
- サーバ内部の設定、PHP・データベースのバージョン、すでに侵入されているかどうか
やっていること・やっていないこと
診断は公開ページへの GET のみで構成されています。 「無料診断」の名前で実際には攻撃的な検査をするツールと区別できるよう、範囲を明記します。
やっていること
- 公開ページの取得（ブラウザで閲覧するのと同じリクエスト）
readme.txtなど公開されているファイルの読み取り- HTTPレスポンスヘッダとリダイレクトの確認
- User-Agent の明示（問い合わせ先を含める）
やっていないこと
- 認証の突破・総当たり（ログイン試行は一切行いません）
- 脆弱性の実際の悪用、任意コードの実行
- フォームの送信、データの書き換え
- 大量アクセス（最大40リクエスト・同時4件まで）
診断で分かるのは「外部から見えてしまっている情報」です。 見えている時点でリスクである、という位置づけで採点しています。 診断ログにIPアドレスとメールアドレスは保存しません（ホスト名のみ記録します）。
判定に使っているデータ
独自の判定基準ではなく、公開されている一次情報を毎日取り込んで使っています。 どのデータで何を言っているかは、各ページで出典まで辿れます。
NVD（米国国立脆弱性データベース）
脆弱性本体の情報と影響バージョン。CVE番号の一次情報です。
Wordfence Intelligence
WordPress専門の脆弱性データ。CVE未採番のものや、修正版バージョンを補完します。
CISA KEV ／ EPSS
「実際に悪用されているか」と「今後30日で悪用される確率」。 深刻度だけでは分からない優先順位を判断します。
WordPress.org
プラグイン・テーマの実在確認、最新版、最終更新日、利用サイト数。
診断してから、直るまで
診断だけで終わっても構いません。自分で直せる内容はそのまま対処してください。 手が足りない場合だけ、こちらで引き受けます。
- URLを入力する登録不要。30秒ほどで結果が画面に出ます。控えをメールで受け取ることもできます。
- 結果を見る該当した脆弱性・上げるべきバージョン・露出しているファイルが一覧で出ます。
- 自分で直す、または相談する更新だけで解消するものが大半です。壊れるのが不安な場合はご相談ください。
- 状態を保つ脆弱性は毎日新しく公開されます。一度直しても放置すればまた溜まります。
よくある質問
本当に無料ですか？登録は必要ですか？
無料です。アカウント登録もクレジットカード登録も不要で、入力するのは診断したいサイトのURLだけです。メールアドレスは、結果の控えを受け取りたい場合の任意入力です。
診断でサイトに負荷がかかりませんか？
公開ページへの通常のアクセス（GET）だけを行います。1回の診断で対象サイトに送るリクエストは最大40件、同時実行は4件までに制限しています。通常の閲覧者が数ページ見るのと同程度で、認証の突破・総当たり・脆弱性の実際の悪用は一切行いません。
自分が管理していないサイトも診断できますか？
ご自身が管理するサイトに対して実行してください。行っているのは公開ページの閲覧のみですが、他人のサイトを無断で検査する目的での利用は想定していません。
30秒で具体的に何が分かりますか？
使用中のプラグイン・テーマとそのバージョン、それが既知の脆弱性に該当するか（該当する場合はCVE番号と修正版）、更新が止まっている拡張、debug.log などの露出、HTTPSの状態です。
特定のレンタルサーバーで運用していないと使えませんか？
サーバーは問いません。公開されているURLであれば、どこで運用しているサイトでも診断できます。WordPress以外のサイトの場合は、検出できる項目が限られます。
脆弱性データはいつのものですか？
NVD と Wordfence Intelligence から毎日自動で取り込んでいます。現在 5,212件の脆弱性、4,310件のプラグイン・テーマを掲載しています。悪用の実績（CISA KEV）と悪用確率（EPSS）も併せて更新しています。
入力したURLやメールアドレスはどう扱われますか？
診断ログにIPアドレスとメールアドレスは保存しません（ホスト名のみ記録します）。メールアドレスはレポート送信とその後のご連絡にのみ使用し、第三者への提供・販売は行いません。
見つかった問題の修正を頼めますか？
対応しています。溜まった更新の一括適用から、以降の継続的な更新・監視までを代行します。更新前のバックアップと更新後の表示チェックを含めているので、「更新したら壊れた」を避けられます。