このサービスについて

PHP安全チェックとは

ホームページのURLを入力するだけで、そのホームページでPHPが使われている可能性や、古いPHPが使われている可能性を確認できる無料のサービスです。

ホームページの制作や保守を外部の会社に任せていて、どんな技術が使われているか分からない企業の担当者が、保守会社に確認するきっかけを作ることを目的としています。

何を確認しているか

入力されたページに、通常のブラウザと同じようにアクセスします。あわせて、そのページからリンクされている同じサイトの主要ページ（お問い合わせ・会社概要など）を最大3ページ、間隔をあけて読み込みます。URLを推測して作ったり、管理画面やログイン画面を探したりはしません。読み込んだページから、誰でも見られる次の情報を確認します。

サーバーからの応答に含まれる情報（PHPのバージョン表記など）
発行されるCookie（ログイン状態の管理などに使われる小さなデータ）の名前
ページのアドレスやページ内のリンク
WordPressなど、PHPで作られたシステム特有の特徴
WordPress本体・プラグイン・テーマのバージョン（ページが読み込んでいるファイルの表記から推定）

PHP自身が出力した情報（直接確認）と、CMSやCookie名からの推定は区別して表示しています。バージョンは公開情報から読み取れた場合のみ表示し、推測で補うことはありません。

行わないこと

このサービスは攻撃ツールではありません。以下のような検査は一切行いません。

不正な入力を送って弱点を探す検査（SQLインジェクション・XSSなど）
ログインの突破や管理画面の探索
ポートスキャンやファイルの総当たり探索
大量のアクセスや、相手のサーバーに負荷をかける行為（1回の診断で読み込むのは最大4ページです）

同じホームページへのチェックは短時間に繰り返せないよう制限しています。

サポート状況・脆弱性の情報について

PHPのサポート期限はPHP公式サイト（php.net）、PHPの脆弱性の情報は米国国立標準技術研究所の脆弱性データベース（NVD）、 WordPress本体の状態はWordPress.orgの公式API、プラグイン・テーマの脆弱性はWordfence Intelligenceのデータを参照しています。これらの情報は定期的に取得して保存したものを使っており、取得日時は結果画面の詳細情報に表示されます。

Ubuntu・Debian・Red Hat などのOS提供元は、PHPのバージョン番号を変えずにセキュリティ修正を取り込むことがあります。そのため、バージョン番号だけでは実際に問題があるかどうかを判断できない場合があります。

結果の読み方の注意

このチェックは外から見える情報だけを使った簡易的なものです。「PHPの利用を確認できませんでした」という結果は、PHPが使われていないことや、安全であることを保証するものではありません。正確な状況は、ホームページの保守会社（制作会社）にご確認ください。

アクセスするプログラムについて

本サービスからのアクセスには「PHPSafetyCheck」という名前（User-Agent）が付いています。ホームページの管理者の方で、本サービスからのアクセスを止めたい場合は、この名前でのアクセスを拒否する設定を行ってください。

脆弱性データについて

WordPress本体・プラグイン・テーマの脆弱性情報には、Wordfence Intelligence（Copyright © Defiant, Inc.）のデータを、Wordfence Intelligence Terms and Conditionsに基づいて利用しています。PHP本体の脆弱性情報には、米国国立標準技術研究所のNVDを利用しています。本サービスはDefiant, Inc.とは関係ありません。

PHPロゴについて

本サービスで使用しているPHPロゴは、PHP公式サイトで配布されているもの（作者：Colin Viebrock）を、クリエイティブ・コモンズ表示-継承 4.0 国際ライセンスに基づき、加工せずに使用しています（配布元）。PHPはThe PHP Groupの登録商標です。本サービスはThe PHP Groupとは関係ありません。