Web-Check に URL を 1 つ入れると、その Web サイトについて外から分かる情報をまとめて調べ、1 つの画面に並べてくれます。ブラウザだけで使えるので、自分のサイトの設定を点検する入口に向いています。
この記事は、自分や自社の Web サイトを管理している人に向けています。読み終えると、次のことができるようになります。
- 自分のサイトの証明書・DNS・セキュリティ関連のヘッダーを一度に確かめる
- 結果から、設定し忘れている項目を見つける
- 社内向けのサイトを調べるために、Web-Check を自分の環境で動かす
Web-Check でできること
公式サイトによると、チェックは 44 項目あり、7 つの分類に分かれています。管理者がよく見る項目は次のとおりです。
| 分類 | 主な項目 |
|---|---|
| セキュリティ | SSL 証明書、HSTS、HTTP のセキュリティヘッダー（CSP など）、security.txt、WAF の有無 |
| ドメイン | DNS レコード、DNSSEC、CAA レコード、WHOIS、証明書の公開ログに出たサブドメイン |
| メール | MX・SPF・DKIM・DMARC の設定 |
| サーバー | IP アドレス、サーバーの場所、開いているポート、経路（traceroute） |
| SEO・性能 | リダイレクトの流れ、サイトマップ、Lighthouse のスコア |
ほかに、Shodan に記録された脆弱性、Have I Been Pwned に記録された情報漏えい、マルウェアやフィッシングの一覧への掲載なども調べます。
安全な試し方：自分のドメインを調べる
- ブラウザで web-check.xyz を開きます。
- 入力欄に、自分が管理しているドメインを入れて実行します。
- 結果の各カードを順に見ます。最初は「HSTS」「HTTP Security」「Email Configuration」の 3 つを見ると、設定し忘れが見つかりやすいです。
結果の見方の例
| 結果 | 意味と対処の例 |
|---|---|
| HSTS が無効 | ブラウザに「常に HTTPS で接続する」よう指示していない。サーバーで Strict-Transport-Security ヘッダーを返す |
| CSP などのヘッダーがない | 埋め込みやスクリプトの読み込みを制限していない。サイトに合わせてヘッダーを足す |
| DMARC がない | 自分のドメインを名乗るなりすましメールを受け手が判別しにくい。DNS に DMARC レコードを足す |
| 想定外のポートが開いている | 外から届くサービスが動いている。Nmap で詳しく確かめ、不要なら閉じる |
社内のサイトを調べるときは自分で動かす
公開版の Web-Check は、運営者のサーバーから対象のサイトを調べます。社内向けのサイトなど、公開版に入れたくない URL を調べるときは、自分の環境で動かします。Docker があれば次のコマンドで起動し、ブラウザで http://localhost:3000 を開きます。
docker run -p 3000:3000 lissy93/web-check自分で動かすときは、環境変数で動きを変えられます。たとえば API_BLOCKED_HOSTS に指定したホストは調べられなくなり、API_DISABLED_CHECKS で一部のチェック（ポートや経路など）を止められます。
注意点
- 許可を得ていないサイトを調べないでください。 公式の利用上の注意も、調べる許可のないホストに使わないよう求めています。チェックの中には、相手のサーバーのポートへの接続や経路の調査、TLS の接続確認など、相手に通信を送るものがあります。
- 一部のチェックは、外部のサービス（Shodan、SSL Labs、Have I Been Pwned など）の情報を使います。調べたドメインがそれらのサービスに渡ることを前提に使ってください。
- 公開版は回数制限がかかることがあり、動き続ける保証もありません。たくさん調べたいときや業務で使うときは、自分の環境で動かしてください。
- 公開版の運営者は、記録するのは訪れた URL とエラーの記録だけで、IP アドレスなどの個人情報は集めないと説明しています。
次に読む
出典
- 公式リポジトリ（README）github.com/lissy93/web-check
- 全チェック項目の説明web-check.xyz/checks
- About（利用上の注意・プライバシー・ライセンス）web-check.xyz/about
- 自分で動かす方法web-check.xyz/self-hosted-setup
確認日 2026-10-25
似たツール
Nmap
影響範囲 外に届くネットワーク上のホストと開いているポート、動いているサービスを調べる定番のスキャナー。
- 用途
- 診断・監査
- 形式
- コマンドライン
- 難易度
- 中級
- ライセンス
- 要確認Nmap Public Source License
- 分類
- ネットワーク／偵察・情報収集
Nuclei
影響範囲 相手に実害YAML のテンプレートに書かれた手順どおりにリクエストを送り、既知の脆弱性や設定ミスを調べるコマンドラインのスキャナ。
- 用途
- 診断・監査
- 形式
- コマンドライン
- 難易度
- 中級
- ライセンス
- 自由に使えるMIT
- 分類
- 脆弱性スキャン／Web セキュリティ
ZAP
影響範囲 相手に実害ブラウザと Web アプリの間に入って通信を記録し、脆弱性を探す無料の Web アプリ診断ツール。旧称 OWASP ZAP、現在は ZAP by Checkmarx。
- 用途
- 診断・監査
- 形式
- デスクトップアプリ
- 難易度
- 中級
- ライセンス
- 自由に使えるApache-2.0
- 分類
- Web セキュリティ／脆弱性スキャン