診断の範囲

公開ファイルの確認の範囲

有料プランでは、公開されると危険な、よく知られた場所にファイルが置かれていないかを確かめます。このページでは、確かめる場所と方法を、すべて公表しています。

行うこと・行わないこと

確かめるのは、サイトの持ち主の確認が済み、ご契約いただいたサイトだけです。持ち主の確認は、確認のたびに毎回確かめ直します
確かめるのは、下の一覧の場所だけです。場所を推測して探したり、管理画面を探したりはしません
ファイルがあるかを確かめるため、ファイルの先頭（最大2,000バイト）だけを読み、そのファイルらしい印があるかを判定します。バックアップのファイルは、中身を読まずに、大きさと種類だけを確かめます
読んだ中身は保存も表示もせず、判定が済んだらすぐに捨てます。記録するのは、見つかった場所（例：/backup.zip）だけです
ログインの試行、フォームの送信、攻撃の文字列の送信は行いません
1つの場所につき1回だけ、間隔をあけて1件ずつ確かめます（診断1回あたり、ほかの確認とあわせて最大100件まで）

確かめる場所の一覧（28か所）

バージョン管理の情報

見つかった場合：サイトのプログラムの中身や変更の履歴を、まるごと持ち出されるおそれがあります

/.git/HEAD　（先頭だけを読んで判定）
/.svn/wc.db　（先頭だけを読んで判定）

パスワードなどの設定ファイル

見つかった場合：データベースのパスワードなどが読まれるおそれがあります

/.env　（先頭だけを読んで判定）
/.htpasswd　（先頭だけを読んで判定）
/wp-config.php.bak　（先頭だけを読んで判定）
/wp-config.php~　（先頭だけを読んで判定）
/wp-config.php.old　（先頭だけを読んで判定）
/wp-config.php.save　（先頭だけを読んで判定）
/wp-config.txt　（先頭だけを読んで判定）
/config.php.bak　（先頭だけを読んで判定）

バックアップのファイル

見つかった場合：サイトのプログラムやデータベースの中身を、まるごと持ち出されるおそれがあります

/backup.zip　（大きさと種類だけ）
/backup.tar.gz　（大きさと種類だけ）
/site.zip　（大きさと種類だけ）
/www.zip　（大きさと種類だけ）
/（サイトのドメイン）.zip　（大きさと種類だけ）
/backup.sql　（大きさと種類だけ）
/dump.sql　（大きさと種類だけ）
/db.sql　（大きさと種類だけ）
/database.sql　（大きさと種類だけ）

サーバーの設定を表示するページ

見つかった場合：サーバーの細かい設定が、攻撃の手がかりになるおそれがあります

/phpinfo.php　（先頭だけを読んで判定）
/info.php　（先頭だけを読んで判定）
/server-status　（先頭だけを読んで判定）
/server-info　（先頭だけを読んで判定）

フォルダの中身の一覧の表示

見つかった場合：公開するつもりのないファイルを見つけられるおそれがあります

/wp-content/uploads/　（先頭だけを読んで判定）
/uploads/　（先頭だけを読んで判定）

Mac が自動で作るファイル

見つかった場合：フォルダの中のファイル名が知られるおそれがあります

/.DS_Store　（先頭だけを読んで判定）

WordPress の公開設定（WordPress のサイトだけ）

見つかった場合：ログインに使うユーザー名を知られる、パスワードを大量に試す攻撃の入口になる、などのおそれがあります。ユーザー名は記録せず、数だけを数えます

/wp-json/wp/v2/users　（先頭だけを読んで判定）
/xmlrpc.php　（先頭だけを読んで判定）

一覧を変えるときは、このページを先に更新します。診断のアクセスについてのお問い合わせは、運営者までご連絡ください。

料金プランへ戻る