Re:me公式サイトで、
何を変えてどう確かめた？

01

対象・日時・方法

02

改善前の診断結果（81点）が意味すること

この記録で数値として示すのは、診断レポートの原本を確認できた改善前の結果だけです。

改善後に行った再診断の点数は、診断レポートの原本を確認できていないため、この記録には掲載していません。セキュリティの点数は、Webサイト全体の安全性の証明として扱えるものではありません（05）。

03

何を変えたか

改善前の診断では、HTTPSや証明書は問題なしとされた一方で、CSP、クリックジャッキング対策、nosniff が未設定と指摘され、メールの送信ドメイン認証（DMARC）のレコードも確認されていませんでした。

主な変更は、Webサーバー（ホスティング）の応答ヘッダーを設定する1つのファイルにまとめました。ページの見た目と文章は変えていません。

• CSP：読み込みを同じサイトのものに限り、スクリプトの実行を一切許可しない方針。フォームの送信先、他サイトへの埋め込みも禁止。違反があれば報告を受け取る設定。
• そのほかのヘッダー：X-Content-Type-Options（nosniff）、Referrer-Policy、Permissions-Policy（カメラ・マイク・位置情報などを使わない）、X-Frame-Options、クロスオリジン関連のヘッダー、HSTS。
• ページ側の小さな修正：HTMLに直接書いていた見た目の指定（style属性）を、CSSファイルへ移しました。CSPで直接の指定を禁止したためです。

各ヘッダーの意味と副作用は技術ノートで説明しています。設定値の全文と差分の公開は、公開の判断（07）が済むまで控えています。

04

改善の進め方

1. 現状を知る診断レポートの各項目と、サイトの構成（外部の読み込み・スクリプト・フォームの有無）を整理。
2. 完成形を設計項目ごとに対応を決め、点数を予測。既存の機能と見た目を変えないことを条件にした。
3. 検証用サイトで確認本番と別の検証用サイトで、応答ヘッダーと主要な導線を確認。
4. 本番に反映して確認反映直後に、本番の全ファイルと応答をGETのみで確認。
5. 再診断と記録点数だけでなく、判定の内訳（問題なし・要確認・要改善・対象外）と分母も記録する方針。改善後のレポート原本の保存が不十分だったことは、今後の課題です。

05

高い点数でも、安全が保証されない理由

• 見ているのは公開された応答だけ。サーバーの内部、管理用のアカウント、保管データ、バックアップ、運用の体制は診断の対象外です。
• 巡回するページが限られる。改善前の診断では、巡回したのは5ページ中1ページでした。
• 判定できない項目は点数に入らない。点数は「判定できた項目について」の結果です。ツールの全127項目のうち、判定から外れた項目の状態はわかりません。
• Re:meのサイトは単純な構成。CMS・ログイン・フォーム・外部の埋め込みがない静的サイトです。地図や申請フォーム、CMSを持つ自治体サイトに、同じ設定や同じ点数がそのまま当てはまるわけではありません。
• 時間がたつと変わる。新しい弱点の発見、設定の変更、ツールの判定基準の更新で、結果は変わり得ます。

高い点数は「このツールが、その時点で、見られる範囲で、問題を見つけなかった」という記録にとどまります。サイト全体の安全や、将来の事故が起きないことを示すものではありません。

06

実務上の学び

• 1

  先に「完成形」を決めると、手戻りが減る

  警告を一つずつ消すのではなく、何を許可し何を止めるかを先に決めたことで、変更を1つのファイルにまとめ、検証の範囲もはっきりしました。

• 2

  強いCSPには、はっきりした副作用がある

  スクリプトを一切許可しない方針は、このサイトのような静的サイトでは機能を失わずに済みました。一方、このプロジェクトの無料リスク確認（12問）のように回答に応じて表示を変える仕組みは、同じ方針のままでは動きません。本番公開の前に、方針の見直しか仕組みの作り替えが必要な未解決事項として扱っています。

• 3

  自分で書いていないスクリプトもある

  ホスティング事業者の機能が、配信時にページへスクリプトを自動で挿入することがあります。強いCSPはそれも止めるため、何が挿入されているかを事前に確かめる必要がありました。

• 4

  Webサーバーの外にある項目もある

  診断項目には、メールの送信ドメイン認証やDNSの設定など、Webサーバーではなく別の管理者が扱う設定も含まれます。変更には、それぞれの管理部署や契約の確認が必要です。

07

根拠資料の扱いと、公開の判断

このページの記述は、Re:meの社内記録（診断レポート、設計書、検証記録、ホスティングの設定ファイル）に基づいています。

• 改善後の再診断の点数は、レポート原本を確認できるまで掲載しません。
• 診断ツールの名称、設定値の全文・変更差分・画面の画像は、悪用の手がかりにならない範囲を判断するまで掲載していません。

架空の改善事例、他の組織の事例、監修者の推薦は掲載していません。

08

関連ページ

• あなたのサイトでも解決方法の比較と相談調査の範囲と体制から、進め方を考える。
• 設定の意味を知る技術ノート各ヘッダーの役割、副作用、検証の限界。
• ヘッダー以外の対策情報を守る対策の全体像更新・認証・権限・バックアップ・監視。
• 自分たちの状況を整理無料リスク確認（12問）点数はつけず、懸念と確認先を表示。