訪問者が実際にたどり着くアドレスのため、証明書・セキュリティヘッダー・公開ファイルはそちらを検査しました。二つのアドレスで異なる証明書を使っているところもあります。
目立つ兆候はありませんでした。ただしこれは安全の保証ではなく、外から見える情報を確認した結果にすぎません。
長く維持されてきたドメインです。
証明書は定期的に更新されるため、日付が新しいこと自体は正常です。
メールまできちんと設定されています。急ごしらえのサイトではあまり見られません。
DNS レコードはここで管理されています。追加・変更するにはこの事業者にログインします。
要求はまずこの層を通ってから実サーバーへ渡ります。配信元を訪問者から隠す役割もあります。
IP の登録情報からの推定です。前段に CDN があると実際の配信元は外からは分からず、その方が安全な構成です。
このドメインのメールを扱うサービスです。SPF・DMARC の設定はこのサービスの案内に従ってください。
有効期間にまだ余裕があります。
このドメインは証明書の対象に含まれています。
古いプロトコルは無効になっています。
送信元ポリシーが公開され、末尾も適切に閉じられています。
送信メールに署名が付き、偽造でないことを受信側が検証できます。
これらのサーバーがこのドメインのメールを受け取ります。
メール転送の暗号化を強制し、経路上のダウングレード攻撃を防ぎます。
メールの暗号化が失敗すると報告が届き、問題に気づけます。
このドメイン宛てのメールは暗号化された経路で届きます。実際のサーバーに接続して確認しました。
指定した認証局だけが証明書を発行できます。
DNS 応答の改ざんを検証する手段がありません。必須ではありませんが有効化を勧めます。
確認した 4 つのリゾルバがすべて同じアドレスを返しています。
HSTS がないと、最初の平文アクセスが盗聴・改ざんされる余地が残ります。
add_header Strict-Transport-Security "max-age=31536000" always;
実行できるスクリプトの出所に制限がなく、XSS への主要な防御が効いていません。
add_header Content-Security-Policy "default-src 'self'" always;
ブラウザが形式を推測し、意図しないものを実行する恐れがあります。
add_header X-Content-Type-Options "nosniff" always;
他サイトからの埋め込みを防いでいます。
外部リンクをたどる際に、完全な URL が相手に渡る可能性があります。
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
サーバーの版が公開されていません。
最初の応答が速く返っています。
robots.txt は誰でも読める公開ファイルです。ここに書いたパスは隠れるどころか、読む人すべてに知らせることになります。
セキュリティ問題の連絡先が公開されています。
検索エンジンがページ一覧を直接見つけられます。
暗号化されていない HTTP でも応答し続けています。
登録期間にまだ余裕があります。
検査は公開情報（DNSレコード・証明書・HTTP応答）のみを参照し、対象サイトにログインしたり負荷をかけたりしません。