訪問者が実際にたどり着くアドレスのため、証明書・セキュリティヘッダー・公開ファイルはそちらを検査しました。二つのアドレスで異なる証明書を使っているところもあります。
目立つ兆候はありませんでした。ただしこれは安全の保証ではなく、外から見える情報を確認した結果にすぎません。
長く維持されてきたドメインです。
証明書は定期的に更新されるため、日付が新しいこと自体は正常です。
メールまできちんと設定されています。急ごしらえのサイトではあまり見られません。
DNS レコードはここで管理されています。追加・変更するにはこの事業者にログインします。
要求はまずこの層を通ってから実サーバーへ渡ります。配信元を訪問者から隠す役割もあります。
IP の登録情報からの推定です。前段に CDN があると実際の配信元は外からは分からず、その方が安全な構成です。
このドメインのメールを扱うサービスです。SPF・DMARC の設定はこのサービスの案内に従ってください。
有効期間にまだ余裕があります。
このドメインは証明書の対象に含まれています。
古いプロトコルは無効になっています。
送信元ポリシーが公開され、末尾も適切に閉じられています。
なりすましメールは隔離または拒否されます。
送信メールに署名が付き、偽造でないことを受信側が検証できます。
これらのサーバーがこのドメインのメールを受け取ります。
なくてもほとんどのメールは暗号化されますが、強制する手段がない状態です。必須ではありません。
暗号化の失敗を知らせる窓口がない状態です。必須ではありません。
メールサーバーが応答せず、確認できませんでした。
世界中のどの認証局でも、このドメイン名の証明書を発行できてしまいます。
CAA レコードを追加します。例: 0 issue "letsencrypt.org"
DNS 応答の改ざんを検証する手段がありません。必須ではありませんが有効化を勧めます。
確認した 4 つのリゾルバがすべて同じアドレスを返しています。
HSTS がないと、最初の平文アクセスが盗聴・改ざんされる余地が残ります。
add_header Strict-Transport-Security "max-age=31536000" always;
実行できるスクリプトの出所に制限がなく、XSS への主要な防御が効いていません。
add_header Content-Security-Policy "default-src 'self'" always;
ブラウザが形式を推測し、意図しないものを実行する恐れがあります。
add_header X-Content-Type-Options "nosniff" always;
他サイトがページを埋め込み、利用者の誤クリックを誘えます。
add_header X-Frame-Options "SAMEORIGIN" always;
外部リンクをたどる際に、完全な URL が相手に渡る可能性があります。
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
サーバーの版が公開されていません。
最初の応答が速く返っています。
robots.txt は誰でも読める公開ファイルです。ここに書いたパスは隠れるどころか、読む人すべてに知らせることになります。
セキュリティ問題の連絡先が公開されています。
検索エンジンはリンクをたどってページを探すことになります。
平文の接続は暗号化されたアドレスへ転送されます。
登録期間にまだ余裕があります。
検査は公開情報（DNSレコード・証明書・HTTP応答）のみを参照し、対象サイトにログインしたり負荷をかけたりしません。