我们是写给这样的客户看的
- 已经公开了网站的法人、个体经营者
- 由其他公司制作的网站也没关系
- 已经联系不上当初制作公司的客户
- 公司内部没有IT负责人，或者只有一个人的公司
我们不承接的委托
- 对并非由您自己管理的网站进行调查
- 来自同行制作公司的委托
- 尚未拥有网站的客户（我们会为您介绍新建网站的服务）
- 检查每家公司限一次
01ISSUES
那个网站，现在
还在好好工作吗。
咨询表单，现在真的能送到吗。
5年前做的页面，是不是还一直公开着。
用手机打开自家网站，能立刻点到电话号码吗。
如果网站停了一周，有能恢复原样的备份吗。
和当初制作的公司，现在还联系得上吗。
自动回复邮件，是不是进了对方的垃圾邮件箱。
每次更新，是不是都要委托外部公司。
同样的数字，是不是要手工输入到两个地方。
刚上线时正确的设置，随着时间推移也会慢慢偏离。
在决定要不要修改之前，先从看清“现在是什么状态”开始，如何。
02EXTERNAL CHECK
外部检查。
只要给我们网址，剩下的由我们来查。
常见的免费诊断，是让客户回答几十道题的问卷形式。外部检查不需要您填写问卷。只要给我们网站的网址，我们就只用公开可见的信息来调查。
01由谁来看
由代表亲自查看。我们不会把工具的输出原样粘贴发给您。把结果按12个方面相互对照，排出应该先修哪一项的顺序，这才是我们的工作。
02用什么来看
我们使用任何人都可以免费使用的公开工具。名称也不隐瞒。
- Mozilla HTTP Observatory（通信相关的设置）
- Qualys SSL Labs（加密通信的状态）
- PageSpeed Insights（显示速度）
- Google Safe Browsing（危险网站判定）
同样的工具，任何人都可以自己试。我们做的是把结果相互对照，并排出优先顺序。
03我们交付什么
- A4一页的PDF（整体概览与修改顺序）
- 各方面的结果一览（○／△／×，以及这样判断的依据）
- 分为“立刻”“本期内”“再观察”三档的优先顺序
我们不出厚厚的报告书。与其增加要读的资料，不如交给您一页能据以判断的纸。
04之后会怎样
发送PDF之后，如果您希望，我们会用30分钟在线为您说明。如果您不希望，到此为止即可。不开会直接收下也完全可以。
改不改、从哪里开始改、委托哪家公司，请由您来决定。包括决定不委托我们，也完全可以。
03WHAT WE LOOK AT
12个方面，按这个顺序查看。
因为难懂的词会接连出现，所以每一项都先从“结果会发生什么”写起。请不要看原因的名称，而是看会发生的事。
A是否漏掉了咨询
- 咨询没有送达会发生的事：发送了却没送到公司内部，或者进了垃圾邮件箱。／查看内容：输入项目的数量、提交后的页面、自动回复、电话号码是否好点。
- 在Google上是否被正确收录会发生的事：用公司名搜索也找不到。同一个页面被重复收录。／查看内容：搜索结果、robots.txt、noindex、canonical、sitemap。
- 显示是不是太慢会发生的事：还没打开就被关掉。广告费白花。／查看内容：手机上的显示时间、图片的大小、服务器的响应。
B看上去是否安全
- 通信是否已加密会发生的事：浏览器上出现“非安全连接”的提示。／查看内容：证书的有效期、仍是 http 的页面、跳转的设置。
- 是否加入了保障安全的设置会发生的事：更难防范冒充和窃看。／查看内容：打开网站时浏览器收到的设置（HSTS、CSP等）。
- 所用工具的版本新旧会发生的事：某天突然无法显示。在客户的审核中被指出问题。／查看内容：在能从公开信息推测的范围内的 PHP、CMS、插件的版本新旧。
- 有没有露出不该露出的东西会发生的事：本应不公开的资料或内部信息，处于任何人都能看到的状态。／查看内容：搜索结果、公开页面、错误提示的内容。
C会不会中断，能不能送达
- 邮件能否送到对方会发生的事：咨询的回复被当成垃圾邮件。冒用贵公司名义的邮件无法察觉。／查看内容：域名的公开设置（SPF、DKIM、DMARC）。
- 域名和证书的有效期会发生的事：到期当天，网站和邮件一起停掉。／查看内容：公开的有效期限。
- 停掉时能否恢复会发生的事：无法恢复，只能重做。／查看内容：这一点从外部看不出来。我们会向您当面了解。
D是不是成了公司内部的负担
- 有没有在做统计会发生的事：不知道哪项措施起了作用，却一直在花钱。／查看内容：GA4、GTM 的部署、咨询完成的统计、重复统计。
- 是不是人人都能使用会发生的事：年长的客户，以及公共服务、招聘的应聘者用不了。／查看内容：文字是否易读、表单项目的名称、能否用键盘操作、图片的说明文字。
关于这项检查，有几点先告诉您。
- 我们只看公开可见的信息。搜索结果、公开页面、打开网站时浏览器收到的信息、robots.txt 等以公开为前提的文件、域名的公开设置。仅限这个范围。
- 也有找不到的情况。我们并不保证能发现所有问题。
- 我们不下定论。由于从外部可见的信息有可能被改写，我们把指出的内容统一写成“显示可能……”“未能确认……”这样的说法。要确定下来，需要在实际环境中确认。
- ○并不表示“安全”。它的意思是“在从外部可见的范围内没有发现在意之处”。
- 如果发现疑似机密的内容。我们不会在提案资料中写入任何网址和其中的具体数值。会直接告知负责人本人。
04WHAT WE DON'T DO
未经许可，
我们不会越过这条线。
请注意，进行超出必要程度的调查，有可能与网站运营者产生纠纷，或者触犯日本的《禁止非法访问法》等法律。
引自日本信息技术促进机构（IPA）《漏洞相关信息申报FAQ》
这是日本的国家机构自己写下的话。所以未经许可，我们只做到这里为止。
未经许可，绝对不做的事
- 逐一试探，去找出管理后台或登录页面的位置
- 输入ID和密码，试试能不能登录
- 把用来寻找漏洞的工具对准贵公司的网站运行
- 向API或搜索功能发送大量请求
- 施加负载，测试能承受到什么程度
- 从多个来源收集并汇总贵公司员工的个人信息
未经许可时，只做以下范围
- 查看搜索结果
- 像普通访客一样打开并阅读公开的页面
- 查看打开网站时浏览器收到的信息
- 查看 robots.txt 和 sitemap.xml 等以公开为前提的文件
- 查看域名的公开设置（DNS）
只是用任何人都能用的方式，去看任何人都能看的页面。完全不会做输入ID或密码的操作。访问的次数也和普通浏览一样，只有几次。
为什么要取得书面许可
根据日本的《禁止非法访问法》，访问管理者本人实施的行为，以及经相关管理者同意实施的特定行为，不属于“非法访问行为”的定义范围。但这并不意味着取得同意后什么都可以做。我们会以书面形式明确对象、期间、内容、排除范围和紧急联系人，并只在该范围内作业。
许可书中要写明的6个项目
- 确定对象系统（是正式环境／验证环境／开发环境中的哪一个，以及网址）
- 实施期间（开始与结束的日期时间）
- 实施的内容（做什么，不做什么）
- 不在范围内的部分（明确写出不碰的地方）
- 对可能发生情况的确认（例如可能会暂时变慢等）
- 紧急联络方式（双方的负责人，以及夜间的联络方法）
这份许可书的样板，我们会免费提供给需要的客户。即使不向我们下单也没关系。
05THREE STEPS
从CNY 0开始，
可以在需要的地方停下来。
不会一上来就变成大额合同。每个阶段，您都可以选择继续还是停下。
-
STEP 0
CNY 0许可：不需要
外部检查
只看公开可见的信息，整理成A4一页。到此结束也完全可以。
-
STEP 1
CNY 4,200 起许可：仅需下单
修改发现的地方
从优先级高的开始修改。要做的范围和不做的范围，都在动工前用书面确定下来。
-
STEP 2
单独报价许可：需要书面
确认实际环境
查看服务器内部和管理后台，核实从外部无法确定的事项。在双方交换写有6个项目的许可书之后再动工。
-
—
转介介绍其他公司
正式的漏洞诊断，我们不做
如果需要尝试登录或模拟攻击的检测，我们会为您介绍专门的公司。这比我们半途而废地承接更可靠。
06SELF CHECK
在申请之前，
请先自己确认这8件事。
如果有3条以上符合，我们认为就值得申请一次检查。
- 用手机打开自家网站，能立刻点到电话号码吗。
- 咨询表单的输入项目，是5个以内吗。
- 上一次从咨询表单向自己发测试邮件，是什么时候。
- 就算网站停了一周，有能恢复原样的备份吗。
- 服务器和域名的管理后台，公司里有人能登进去吗。
- 每次更新，都要委托外部公司吗。
- 用公司名搜索时，会不会跳出不该出现的文件。
- 和做这个网站的公司，现在还联系得上吗。
想先自己查一查的客户请看这里。日本信息技术促进机构（IPA）免费公开了《5分钟就能做！信息安全自查》等资料。不委托我们也可以使用。不过那里查出来的是公司内部体制的自我申报，而外部检查看的是从外面实际能看到的状态。两者的作用不同。
07WHAT WE FIX
要修改的对象，有两个。
修改网站
- 重做咨询表单、减少输入项目
- 手机上的显示效果，以及通往电话、地图的引导
- 加密通信，以及补上保障安全的设置
- 把陈旧机制的版本升上去（PHP、CMS、插件）
- 修正搜索不到的状态，整理多余的页面
- 图片瘦身与显示速度的改善
- 让邮件能送达的设置（SPF、DKIM、DMARC）
- GA4、GTM 的部署，以及咨询完成的统计
改造公司内部的机制
- 把用Excel的管理，整合到一个界面上
- 预约、订单、库存、客户管理的机制搭建
- 申请与审批，以及权限的划分
- 与现在使用的工具对接（API），免去重复录入
- 把从网站进来的咨询，自动送到公司内部的管理后台
- 解决只有某个人才能碰的状态（操作手册与交接）
- 网店的搭建，以及面向海外的销售支持
- 让停掉时能够恢复（备份与监控）
08PRICING
费用，我们一开始就写出来。
我们想，只看金额是没法判断的，所以一定会把对象页数、周期、包含的内容并排写在旁边。
- 尚未拥有网站的客户，新建网站从轻量版（CNY 4,200 起）开始介绍。本页写的 CNY 4,200 起，是检查已有网站并优先修改重要部分时的参考价格。确认作业范围后，我们会提供正式报价。
- 决定金额的，是这三点。①包含首页在内要改几个页面 ②咨询表单有几个 ③是WordPress还是自建的机制。知道这三点，我们就能告诉您大致的金额。
- 付款分为动工时与交付时两次。不会按工时另行追加收费。
- 要做的范围在动工前用书面确定。不做的范围也会写上。这是为了避免事后在理解上产生分歧。
- 以上为参考标准。我们会在看过检查结果之后，出具正式报价。如果可能超出参考标准，一定会在动工前告知您。
09AFTER
修好之后，
要是就那样放着，还是会退回原样。
运维并非必须。也可以选择只在需要的月份做工作的方式。不过，如果按月委托给我们，我们会先把要做的事全部写清楚。
按月要做的事
- 运行状态的监控（自动盯着有没有停掉）
- 每天至少做一次备份
- 主体、插件、主题的更新
- 准备一套与正式环境分开、用来试更新的环境
- 服务器一侧的维护（PHP等的版本管理）
- 每月一次，汇报做过的事
不包含的内容：设计的变更、页面的增加、遭受攻击之后的恢复。这些会另行报价。我们把它写在同一个地方。
在下单之前，先把条件摆出来
- 做出来的东西，权利归贵公司所有（交付的同时转让）
- 交付后3个月内，因我方原因产生的缺陷免费修复
- 服务器和域名请以贵公司的名义持有（不会登记在我方名下）
- 如需转委托给外部，会先取得您的同意后再进行
- 我们不会把从您那里获得的信息，提供作为AI的学习数据
- 保密协议在动工前签订。用贵公司的格式也可以
- 会以随时都能交接给其他公司的形式交付给您
请不要看实绩的数量，而是看做法来判断。
我们是一家成立不久的公司。在能拿出来介绍的实绩数量上，比不过大公司。这一点我们不打算隐瞒。
作为补偿，我们把看什么、不看什么、要花多少钱、怎么推进，全部先写在了这个页面上。让您在咨询之前就能读到。
从洽谈到交付，都由公司代表亲自负责。不会出现对接的人和实际动手做的人不是同一个人的情况。
10FAQ
在申请之前，大家常问的问题。
免费。不会事后收费。检查只花我们自己的时间，不会产生对外的支出。所以我们把名额定为每月5家。
我们是在收到您的申请之后才开始查的。而且看的只有搜索结果、公开页面等任何人都能看到的范围。输入ID或密码的操作、寻找管理后台的操作、运行寻找漏洞的工具，我们完全不做。如果需要这些，会在取得书面许可之后再进行。
可以。这个页面本来就是为这样的公司写的。我们会不使用专业术语地为您说明。需要您决定的，只有“现在为什么发愁”这一点。需要您准备的，只有网站的网址。
可以。其实这类咨询反而更多。已经联系不上当初制作公司的情况我们也能应对。不过仅限于贵公司自己管理的网站。未经许可去调查其他公司网站的委托，我们不承接。
不会。发送结果之后，我们不会从我方进行推销联系，也不会打电话。只有想了解费用的客户，请在表单的“也想了解大致费用”处打勾。没有打勾的客户，我们不会发送费用方面的介绍。
我们会告诉您“在从外部可见的范围内没有发现在意之处”。这也是一种结果。我们不会硬造出问题来汇报。不过○并不表示“安全”，而是表示“从外部看不到”。这一点我们会如实写出来。
检查是CNY 0。沿用现有网站进行修改的情况为CNY 4,200 起，连外观一起重做的情况为CNY 21,000 起，连公司内部机制一起做的情况为单独报价。金额大致由“要改几个页面”“表单有几个”“是WordPress还是自建的机制”这三点决定。
检查从申请起3个工作日以内。改修方面，修改现有网站大约3〜4周，重做大约6〜8周。我们会在动工前拿出日程表，并按上面写的日程推进。做不到的日程，我们一开始就不会写。
从外部能看到的，只到“显示可能在使用旧版本”这一步，无法断定。因为那个显示有可能被改写。不过，如果一直在使用官方支持已经结束的版本，由于不再提供修复，我们建议进行更新。要确定下来，需要在实际环境中确认，而那需要取得您的书面许可。
在提案资料中，我们不会写入任何网址和其中的具体数值。只会告诉您“有件事想尽快联系您”，然后直接交给负责人本人。如果无法取得联系，且我们判断该事项属于日本信息技术促进机构（IPA）的漏洞相关信息申报对象，则会按照该制度处理。
放着不管就会退回去。所以我们也准备了按月的运维服务。不过它并非必须。您可以选择只在需要的月份做工作的方式；如果由公司内部运营，我们会把操作手册交给您。我们不会做成把您绑在我们身上的形式。
模拟攻击的正式漏洞诊断，我们不做。我们会为您介绍专门的公司。因为这比半途而废地承接更可靠。我们做的，是从外部可见范围内的检查，以及修改在那里发现的地方。
11APPLY
只要一个网址，就能申请。
填写只要1分钟。不需要准备资料。
- 完全不产生任何费用。也没有签约的义务。
- 发送结果之后，我们不会从我方进行推销联系。
- 申请每家公司限一次。
- 对并非由您自己管理的网站进行调查，以及来自同行制作公司的委托，我们不承接。
请在咨询表单的“内容”一栏，填写要检查的网站网址。如果能一并写上您现在最在意的事（收不到咨询／显示太慢／对安全不放心 等），我们会从那里先看起。
—RELATED