訪問者が実際にたどり着くアドレスのため、証明書・セキュリティヘッダー・公開ファイルはそちらを検査しました。二つのアドレスで異なる証明書を使っているところもあります。
目立つ兆候はありませんでした。ただしこれは安全の保証ではなく、外から見える情報を確認した結果にすぎません。
長く維持されてきたドメインです。
証明書は定期的に更新されるため、日付が新しいこと自体は正常です。
メールまできちんと設定されています。急ごしらえのサイトではあまり見られません。
DNS レコードはここで管理されています。追加・変更するにはこの事業者にログインします。
要求はまずこの層を通ってから実サーバーへ渡ります。配信元を訪問者から隠す役割もあります。
IP の登録情報からの推定です。前段に CDN があると実際の配信元は外からは分からず、その方が安全な構成です。
このドメインのメールを扱うサービスです。SPF・DMARC の設定はこのサービスの案内に従ってください。
有効期間にまだ余裕があります。
このドメインは証明書の対象に含まれています。
古いプロトコルは無効になっています。
送信元ポリシーが公開され、末尾も適切に閉じられています。
送信メールに署名が付き、偽造でないことを受信側が検証できます。
これらのサーバーがこのドメインのメールを受け取ります。
なくてもほとんどのメールは暗号化されますが、強制する手段がない状態です。必須ではありません。
暗号化の失敗を知らせる窓口がない状態です。必須ではありません。
このドメイン宛てのメールは暗号化された経路で届きます。実際のサーバーに接続して確認しました。
指定した認証局だけが証明書を発行できます。
DNS 応答の改ざんを検証する手段がありません。必須ではありませんが有効化を勧めます。
確認した 4 つのリゾルバがすべて同じアドレスを返しています。
ブラウザに HTTPS のみを使うよう指示しています。
スクリプトの実行元が制限されています。
ブラウザがファイル形式を推測しません。
他サイトからの埋め込みを防いでいます。
外部リンクをたどる際に、完全な URL が相手に渡る可能性があります。
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
サーバーの版が公開されていません。
最初の応答が速く返っています。
robots.txt は誰でも読める公開ファイルです。ここに書いたパスは隠れるどころか、読む人すべてに知らせることになります。
セキュリティ問題の連絡先が公開されています。
検索エンジンはリンクをたどってページを探すことになります。
平文の接続は暗号化されたアドレスへ転送されます。
登録期間にまだ余裕があります。
検査は公開情報（DNSレコード・証明書・HTTP応答）のみを参照し、対象サイトにログインしたり負荷をかけたりしません。