ホームページのセキュリティチェックを無料でする方法。分かる範囲と限界

ホームページのセキュリティチェックには、Google の無料の判定を見るだけのものから、専門家が時間をかけてサーバーの中まで調べる有料の診断まで、さまざまな方法があります。無料の方法でも、危険なサイトと判定されていないか、古いソフトのまま動いていないかといった、よくある問題の多くには気づけます。

無料でできる範囲と分からない範囲を把握すると、自社で済ませてよい確認と、専門家に任せるべき確認を迷わず切り分けられます。無料のチェックで見えるのは「外から見える状態」と「既に知られている問題」までと知っておくことが、安全な使い方の第一歩です。

本記事では、無料のセキュリティチェックの早見表、自社のHPを自分で確かめる6STEP、無料のツールを使うときの注意をまとめています。さらに、IPAの「5分でできる自社診断」との違いと、無料のチェックでは分からないことも紹介します。

ホームページのセキュリティチェックを無料でする方法【早見表】

ホームページのセキュリティチェックは、Google のサイトステータス・Search Console・SSL・WordPress のバージョン・PHP のバージョン・site: 検索の6つなら、無料で自分でできます。どれも Google や WordPress.org などの公式の仕組みを使うため、専門の道具がなくても安全に確かめられます。

ここでは、6つの方法で分かることと、必要なものを早見表で示します。

方法	分かること	必要なもの	かかる時間の目安
Google のサイトステータス	Google が危険なサイトと判定しているか	ドメインだけ	1分
Search Console の「セキュリティの問題」	Google が見つけたハッキング・マルウェア	Search Console のログイン情報	5分
SSL の確認	通信が暗号化されているか、証明書の期限	ブラウザだけ	1分
WordPress のバージョンとサイトヘルス	本体・プラグインの更新の遅れ、設定の問題	WordPress のログイン情報	10分
PHP のバージョン	サポートが終わった PHP で動いていないか	サーバーの管理画面のログイン情報	5分
site: 検索	身に覚えのないページが検索結果に出ていないか	Google の検索窓	5分

上の3つと site: 検索は、ログイン情報がなくても始められます。WordPress と PHP の確認は、ログイン情報を持っている人か、制作会社・保守会社に頼んでください。

無料のセキュリティチェックを始める前に確かめること

無料のセキュリティチェックを始める前に、確認するサイトの範囲と、結果を記録する方法を決めておくことが重要です。範囲を決めずに始めると、他人のサイトに触れてしまったり、結果を比べられなかったりするためです。

ここでは、始める前に確かめることを3つ紹介します。

【始める前の確認ポイント】

• 確認するのが自社のサイトか：子会社・別ブランド・キャンペーン用のサイトも含めて、自社のドメインを一覧にする
• 誰がどのログイン情報を持っているか：Search Console・WordPress・サーバーの管理画面に入れる人を確かめる
• 結果をどこに残すか：日付・方法・結果・スクリーンショットを1枚の表にまとめる

確認するのは、自社のサイトか、許可を得たサイトだけにしてください。取引先や競合のサイトを調べることは、本記事の方法の対象外です。ログイン情報が誰も分からない場合は、先にホームページの管理画面の入り方を確かめておくと進めやすくなります。

自社のHPを無料でセキュリティチェックする手順【6STEP】

自社のHPの無料のセキュリティチェックは、外から見える判定 → Google の通知 → 通信 → ソフトのバージョン → 検索結果の順に確かめます。外から見える問題を先に確かめると、急いで対処すべきかどうかを早く判断できるためです。

ここでは、6つの確認を1つずつ手順で紹介します。

【STEP1】Google のサイトステータスで判定を調べる

最初に、Google 透明性レポートの「サイトステータス」で、自社のドメインを調べます。サイトステータスは、URL やドメインを入れると、ページを開かずに Google セーフブラウジング（危険なサイトを見分ける Google の仕組み）の最新の判定を確かめられるツールです（Google 検索セントラル ブログ）。

たとえば、自社のドメイン（例：example.co.jp）を入れて、問題が見つからないという結果なら、Google はその時点で危険と判定していません。ただし、Google がまだ見つけていない改ざんは、この判定には出ません。

【STEP2】Search Console の「セキュリティの問題」を見る

Search Console（Google が無料で提供する、検索での表示状況を確かめるツール）の「セキュリティの問題」レポートでは、Google が見つけたハッキングや危険な動作を確かめられます。Google は、ハッキングされたコンテンツ・マルウェアや望ましくないソフトウェア・ソーシャルエンジニアリング（人をだまして危険な操作をさせる手口）などを検出すると、このレポートに表示します（Search Console ヘルプ）。

問題が表示されていなければ、Google がその時点で見つけた問題はありません。ただし、Search Console を誰も登録していない場合は、通知を受け取れない状態なので、この機会に登録を検討してください。

【STEP3】SSL の状態をブラウザで確かめる

SSL（通信を暗号化して、のぞき見や書き換えを防ぐ仕組み）の状態は、ブラウザのアドレスバーで確かめられます。Chrome のヘルプでは、アドレスバーの表示で接続が保護されているか、保護されていない通信か、危険かを見分けられると説明されています（Chrome ヘルプ）。

アドレスバーの表示	意味	やること
保護されている（通常の表示）	通信が暗号化されている	証明書の期限を控える
保護されていない通信	暗号化されていない	SSL を設定する
危険（赤い警告画面）	セーフブラウジングが安全でないと判定	すぐに専門家へ相談する

※2026年10月時点・Google Chrome ヘルプより

問い合わせフォームのページも含めて、すべてのページで「保護されている」状態か確かめてください。

【STEP4】WordPress のバージョンとサイトヘルスを見る

WordPress で作ったHPは、管理画面の「ツール」→「サイトヘルス」で、本体と設定の状態をまとめて確かめられます。サイトヘルスの「ステータス」には、セキュリティ上の問題になりうる「致命的な問題」と、直したほうがよい「おすすめの改善」が分かれて表示されます（WordPress.org）。

【サイトヘルスで見るところ】

• 「ステータス」の致命的な問題：古い PHP、更新待ちのプラグイン、自動更新が動いていないなど
• 「情報」の WordPress：本体のバージョン
• 「情報」の有効・停止中のプラグインとテーマ：使っていないものが残っていないか

使っていないテーマやプラグインは、WordPress.org でも削除が勧められています。プラグインごとの脆弱性の調べ方は自社の WordPress に脆弱性がないか確認する方法で解説しています。

【STEP5】PHP のバージョンとサポート期限を確かめる

PHP（WordPress などを動かすプログラムの言語）は、サーバーの管理画面かサイトヘルスの「情報」→「サーバー」で、バージョンを確かめます。サポートが終わった PHP には、新しい脆弱性が見つかっても修正が出ないためです。

PHP のバージョン	セキュリティサポートの期限
8.1 以前	終了
8.2	2026年12月31日
8.3	2027年12月31日
8.4	2028年12月31日
8.5	2029年12月31日

※2026年10月時点・PHP 公式サイト「Supported Versions」より

PHP 8.2 以前なら、更新の準備が必要です。サーバーごとの確かめ方は自社HPの PHP バージョンを確認する方法にまとめています。

【STEP6】site: 検索で身に覚えのないページを探す

site: 検索は、Google に登録されている自社のページを一覧で確かめる方法です。改ざんでは、見た目を変えずに、知らないページだけを大量に置かれることがあるためです。

たとえば、Google の検索窓に site:example.co.jp と入れ、作った覚えのない通販・カジノ・外国語のページがないかを見ます。見つけたページはむやみに開かず、URLとスクリーンショットだけを残してください。見つけた場合は、改ざんとして扱ってください。

無料のツールでセキュリティ診断をするときの注意

無料のツールでセキュリティ診断をする際は、ツールの種類によって安全に使える範囲が違うことを知っておく必要があります。公開の判定を見るだけのツールと、サイトに通信を送って弱点を探すツールでは、相手のサーバーへの影響が違うためです。

ここでは、ツールの種類ごとの使い方の注意を紹介します。

ツールの種類	例	使い方の注意
公開の判定を見る	Google のサイトステータス	自社のドメインを調べる
設定を外から評価する	Mozilla の HTTP Observatory（HTTPヘッダーなどの設定を評価）	自社のサイトに使う。結果の読み方に知識が要る
弱点を探して通信を送る（脆弱性スキャナー）	専門家向けの検査ツール	自社か許可を得たサイトだけ。サーバー会社の規約も確かめる

脆弱性スキャナーは、短時間に大量の通信を送るため、自社のサイトでもサーバーが重くなったり、サーバー会社から攻撃と判断されたりすることがあります。結果に出る「問題の可能性」が本当に危険かを見極めるにも専門の知識が要るので、事業主の方が自分で使うのはおすすめしません。

IPA「5分でできる自社診断」とホームページのセキュリティチェックの違い

IPAの「5分でできる自社診断」は、会社全体の情報セキュリティ対策ができているかを点検するもので、ホームページそのものの状態を調べるものではありません。25問の設問に答えて、パスワードの管理・バックアップ・社内ルールなどの取り組み状況を確かめる仕組みです。

ここでは、2つの違いを表で比べます。

項目	5分でできる自社診断	ホームページのセキュリティチェック
調べるもの	会社の対策の取り組み状況	HPの今の状態
方法	設問に答えて点数を出す	ツールと管理画面で確かめる
分かること	手つかずの対策	危険な判定・古いソフト・知らないページ
HPとの関係	第4.0版で「ウェブサイトを安全に運用する」項目が加わった	HPだけを調べる

※2026年10月時点・IPA「中小企業の情報セキュリティ対策ガイドライン」より

2つは代わりにはならないので、両方を使うのが効果的です。自社診断の進め方は5分でできる自社診断のやり方で解説しています。

無料のセキュリティチェックでは分からないこと

無料のセキュリティチェックでは、サーバーの中の状態・ログイン後の画面・まだ知られていない問題は分かりません。無料の方法は、外から見える状態と、Google などが既に見つけた問題を確かめる仕組みだからです。

ここでは、無料のチェックで分からないことを5つ紹介します。

【無料のチェックで分からないこと】

• サーバーの中に隠された改ざん：特定の条件でだけ動く仕掛けは、外からは見えない
• ログイン情報の弱さ：使い回しのパスワードや、退職者のアカウントが残っていないか
• プラグインやテーマの細かい設定：外から見えない設定の誤り
• まだ公表されていない脆弱性：誰も知らない問題は、どのツールにも出ない
• バックアップから戻せるか：バックアップがあっても、戻す手順を試さないと分からない

たとえば、検索から来た人にだけ別のサイトへ飛ばす改ざんは、自分でHPを開いても再現しません。ウイルスを配っていないかをサーバーの中まで確かめる方法は、自社のHPがウイルスを配っていないか確認する方法で解説しています。

セキュリティチェックの結果の見方と次にやること

セキュリティチェックの結果は、「すぐ対処」「計画して対処」「定期的に確認」の3つに分けて次の行動を決めます。結果ごとに急ぎ度が違い、すべてを同時に直そうとすると、肝心の問題が後回しになるためです。

ここでは、結果別の次の行動を表で紹介します。

チェックの結果	急ぎ度	次にやること
サイトステータスや Search Console で問題あり	すぐ対処	改ざんとして扱い、専門家に相談する
身に覚えのないページがある	すぐ対処	URLを記録し、改ざんの初動に入る
「保護されていない通信」と出る	計画して対処	SSL を設定する
PHP 8.2 以前、WordPress の更新が止まっている	計画して対処	バックアップを取り、更新の計画を立てる
どれも問題なし	定期的に確認	3ヶ月に1回など、日付を決めて同じ確認を繰り返す

問題がなかった場合も、結果の表を残しておくと、次の確認で変化に気づきやすくなります。

無料のセキュリティチェックで足りないとき

無料のセキュリティチェックで問題が見つかった場合や、確認できる人がいない場合は、専門家に任せたほうが早く確実です。サーバーの中の確認や更新の作業は、手順を誤るとHPが表示されなくなることがあるためです。

ここでは、専門家に相談すべき条件を紹介します。

【相談すべき条件】

• サイトステータスや Search Console で問題が出た
• PHP や WordPress が古いが、更新すると表示が崩れないか分からない
• Search Console・WordPress・サーバーのログイン情報が誰も分からない
• 確認や更新を続ける担当者がいない

保守の費用の考え方はホームページ保守の費用相場と、含まれる作業の見方にまとめています。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

まとめ

• ホームページのセキュリティチェックは、サイトステータス・Search Console・SSL・WordPress・PHP・site: 検索の6つなら無料で自分でできる
• 無料のチェックで分かるのは、外から見える状態と既に知られている問題まで
• 確認するのは自社のサイトだけにし、脆弱性スキャナーは自分で使わない
• IPAの「5分でできる自社診断」は会社全体の点検で、HPのチェックとは別に行う
• 問題が出たら、急ぎ度で分けて次の行動を決める

まずは Google のサイトステータスに自社のドメインを入れ、今の判定を確かめてください。