無料で使えるWebセキュリティ診断・脆弱性診断ツールまとめ【2026年】目的別の選び方

セキュリティ診断と脆弱性診断の違い

無料の「セキュリティ診断」の多くは、外から誰でも見られる情報だけを使う外形チェックです。SSL証明書、レスポンスヘッダー、DNS の設定など、ブラウザで開くのと同じ範囲を確認します。サイトに負荷をかけず、数秒から数十秒で終わります。

「脆弱性診断」は、攻撃に近いリクエストを実際に送り、入力欄やログインの仕組みに弱点がないかを調べる検査です。SQLインジェクションや XSS など、アプリケーションの中身の問題まで見つけられる一方、サイトの持ち主の許可が必要です。他人のサイトに行うと、相手のサービスを止めたり、法令に触れたりするおそれがあります。

さらに踏み込んだ「ペネトレーションテスト」は、攻撃者が目的（情報の持ち出しなど）を達成できるかを、専門家が手作業も含めて試すものです。

無料で使える主なツールの比較

外形チェック、ドメイン・メール認証、脆弱性診断の順に並べています。料金や条件は変わることがあるので、利用前に各公式サイトを確認してください。

目的別の選び方

迷ったら、次の順に確認すると抜けが少なくなります。

• 公開前・公開直後のサイトをまとめて確認したい：外形チェック型。個人開発や AI で作ったアプリなら、公開JSの秘密鍵まで見る IDEAVALU の診断、企業サイトや CMS ならセキュリティブースターやデジライズが候補です。
• ヘッダーや TLS の設定を詳しく詰めたい：MDN HTTP Observatory、SSL Server Test。
• メールのなりすまし対策を見直したい：SPF・DKIM・DMARC を確認できるドメイン診断ツール。
• ログイン・入力フォーム・API の弱点を調べたい：ZAP などを、自分の検証環境に対して使う。本番環境で使う場合は影響を確認してから。
• 決済・個人情報を扱う本番サービス、取引先からセキュリティ診断を求められた：専門会社の有償の脆弱性診断。

無料ツールを使うときの注意

外形チェックで合格しても、ログインの作り、データベースのアクセス制御、依存パッケージの脆弱性などは確認できていません。結果は「外から見える設定に問題がないか」の目安として使ってください。

脆弱性診断ツールは、自分が管理しているか、持ち主から許可を得たサイトだけに使ってください。外形チェックのツールでも、短時間に何度も実行するのは避けましょう。

IDEAVALU の診断が向いている場面

IDEAVALU の無料セキュリティ診断は、個人開発や AI で作ったアプリの公開前チェックに絞っています。ほかの無料ツールにない点は、ブラウザに届く JS から OpenAI・Stripe・Supabase の service_role などの秘密鍵を探すことと、見つかった問題を Claude Code や Codex にそのまま渡せる修正依頼にまとめられることです。

一方で、SQLインジェクションなどアプリケーションの脆弱性は検査しません。必要に応じて、この記事のほかのツールと組み合わせてください。

よくある質問

無料のセキュリティ診断だけで十分ですか？

外から見える設定の確認としては役立ちますが、アプリケーションの中身の脆弱性は見つけられません。個人情報や決済を扱うサービスでは、脆弱性診断ツールでの検査や、専門会社の有償診断も検討してください。

脆弱性診断とペネトレーションテストの違いは何ですか？

脆弱性診断は、既知の種類の弱点がないかを網羅的に調べる検査です。ペネトレーションテストは、攻撃者が特定の目的を達成できるかを、専門家が手作業も含めて試す検査です。

ドメインのセキュリティ診断では何を見ますか？

主に、メールのなりすましを防ぐ SPF・DKIM・DMARC、証明書の発行元を制限する CAA、SSL証明書、外から見えるサブドメインなどです。IDEAVALU の診断では SPF・DMARC・CAA と証明書を確認します。