baessa Security Scanner 使い方ガイド — URL入力からAI修正プロンプトの活用まで5ステップ

サービスの概要と、外からの診断が必要な理由は解説記事にまとめています。この記事では、実際の画面を使って5つのステップを説明します。

この記事の内容

1. Step 1：URLを入力する
2. Step 2：お支払い
3. Step 3：所有権を確認する（つまずきやすい点：確認できないときのチェックリスト）
4. Step 4：自動診断の実行
5. Step 5：レポートの保存とAIによる修正（24時間で削除されます）

---

Step 1：診断トップ画面でURLを入力する

まず、baessa Security Scanner 公式ページ（scan.ba-essa.com）を開きます。

① あなた専用の診断ルームのURLが自動で作られます

baessa Security Scannerでは、メールアドレスやパスワードを設定するアカウント登録は必要ありません。 サイトを開くと、推測できないランダムな文字列（UUID）を含むあなた専用の診断ルームのURL（例：scan.ba-essa.com/s/7b8e1a…）が自動で作られます。

② 診断するURLを入力する

入力欄に、診断したいWebサイトのURLを入力します（例：https://example.com、ステージング環境のURLなど）。 必ず、自分が管理者としての権限を持つWebサイトのURLを指定してください。

③ スキャンの種類を選ぶ

サイトの種類に合わせて、2つから選びます。

• 公開スキャン（標準）： ログインが不要な公開ページ（トップページ、お問い合わせフォーム、ブログ記事、LPなど）を巡回します。XSSやSQLインジェクション、セキュリティ関連のヘッダー、暗号化の設定、公開されてはいけないファイルの露出を検査します。
• ログイン後スキャン： 会員制のWebサービスや管理画面など、ログイン後のマイページやAPIを診断したいときに選びます。最大3つのアカウント（一般ユーザー2名と管理者1名）を設定でき、他のユーザーのデータを見られないか（IDOR）や、一般ユーザーが管理者の権限を得られないかまで検査します。 /logout や /users/delete（退会処理）などは除外パスに設定できるため、テスト中にログアウトしたり、データが消えたりするのを防げます。

④ 利用規約に同意して、お支払いへ進む

画面の下にある利用規約・免責事項とプライバシーポリシーを確認し、同意のチェックを入れて、「診断を開始する（お支払いへ）」 ボタンをクリックします。

---

Step 2：お支払い（Stripeによる買い切り決済）

ボタンをクリックすると、決済サービス「Stripe」の支払い画面が開きます。

① 料金は1回1,000円（税込）の買い切りです

料金は、1回の診断につき1,000円（税込）の前払い（買い切り） です。

• 月額課金（サブスクリプション）ではないため、解約を忘れて課金が続くことはありません。
• サイトを公開するとき、大きな機能を追加したとき、納品前の点検など、必要なときだけ利用できます。
• 返金に関する取り決めや事業者の情報は、特定商取引法に基づく表記で確認できます。

② 使える支払い方法

• クレジットカード・デビットカード（Visa、Mastercard、JCB、American Express、Diners Clubなど）
• Apple Pay・Google Pay（対応する端末・ブラウザで利用できます）
• ビットコイン（Lightning Network）

必要事項を入力して 「支払う」 をクリックすると、決済がすぐに処理され、自動的に「所有権確認」の画面に切り替わります。

---

Step 3：対象サイトの所有権を確認する（悪用を防ぐための手順）

お支払いが終わると、対象のWebサイトの所有権確認の画面が表示されます。

※画面キャプチャはテスト環境で撮影したため、一部の表示が実際と異なります。料金は1回1,000円（税込・買い切り）です。

なぜ所有権の確認が必要か

baessa Security Scannerは、実際の攻撃者と同じようにリクエストを送って脆弱性を探すツールです。もし誰でも他人のサイトのURLを入力して診断できると、他社のサーバーに負荷をかけたり、不正なスキャンに悪用されたりするおそれがあります。

そこで、「そのサイトの正当な管理者であること」を確認する手順を必須にしています。

所有権を確認する3つの手順

手順1：確認用のテキストをコピーする

画面に表示される固有の確認コード（例：security-verification=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx）の横にある 「コピー」 ボタンをクリックします。

手順2：security-verify.txt というファイルを作る

パソコンのテキストエディタ（メモ帳、テキストエディット、VSCodeなど）を開き、コピーした文字列を貼り付けます。ファイル名は必ず security-verify.txt にして保存してください。

手順3：Webサーバーの「ルート直下」に置く

作成した security-verify.txt を、Webサーバーの公開フォルダの一番上の階層（ドメインのルート直下）にアップロードします。

所有権を確認して、診断を始める

Step 1 の時点で security-verify.txt をすでにサーバーに置いている場合は、もう一度作ってアップロードする必要はありません。そのまま次の操作に進みます。

ブラウザで https://あなたのサイト/security-verify.txt を開き、文字列が正しく表示されることを確認してから、画面の下にある 「所有権を確認して診断を開始する」 ボタンをクリックします。 診断システムがファイルを自動で取得して内容を照合し、一致すると診断が始まります。診断が始まったあとは、サーバー上の security-verify.txt を削除しても問題ありません。

---

Step 4：自動診断を実行する（画面を閉じても診断は続きます）

所有権の確認が済むと、クラウド上の隔離された環境で、AIエージェントによる自動診断が始まります。

① 診断にかかる時間

サイトの規模やページ数によりますが、通常15〜45分ほどかかります（シンプルなWebサイトやブログなら、10〜15分ほどで終わることもあります）。 画面には、実行中の検査の段階（1/5〜5/5）と、経過時間がリアルタイムで表示されます。

② 本番のデータを壊さないための設計

自動診断は、次のような安全の基準で実行されます。

• データを壊さない検査だけを実行：本番のデータベースのデータを壊したり書き換えたりする攻撃や、過度な負荷をかける攻撃は行いません。
• 対象サイト以外への通信を遮断：診断を行うシステムは、所有権を確認できたドメイン以外への外部通信が、システムのレベルで遮断されています。第三者のサイトに誤って通信が届くことはありません。

③ 画面を閉じても診断は続きます

診断の処理は、すべてクラウド側で動いています。診断中にタブを閉じたり、パソコンをスリープにしたり、スマートフォンの画面を消したりしても、診断は止まりません。

Step 1 で保存した専用URLを開き直せば、進み具合や、完了後のレポートをいつでも確認できます。診断が終わるまで、ほかの作業を進めて問題ありません。

---

Step 5：レポートを保存し、AIで修正する

診断が終わると、画面が自動で「総合診断レポート」に切り替わります。

① 総合レポートの見方

• 総合セキュリティスコア（100点満点）：画面の上部に「72 / 100（要改善）」のように表示され、サイト全体の状態を一目で確認できます。
• 重大リスク（Critical / High）と、中・低リスク（Medium / Low）の件数：すぐに対応が必要なリスクの件数が、赤いバッジで強調されます。
• 監査ログ（Audit Log）：送信したリクエストの総数（例：842件）、検査したエンドポイントの数（例：28か所）、対象外への通信を遮断した回数（0件）など、実際に行った検査の記録を確認できます。
• 検出された脆弱性と対策のカード：各カードをクリックすると、脆弱性の詳細、再現の手順、通信ログなどの技術的な根拠を確認できます。

② 24時間で自動削除されます。必ず保存してください

画面右上の保存ボタンから、目的に合わせて保存します。

1. 「AI用 .md をダウンロード」：Claude CodeやCursor、ChatGPTなどのAIツールにそのまま読み込ませられる、Markdown形式のレポートをダウンロードします。
2. 「印刷 / PDF保存」：PDF形式で保存します。社内での共有や、Web制作のクライアントへ「納品前に外部から脆弱性検査を実施した」ことを示す資料として提出できます。

③ 「AI修正用プロンプト」で修正する

レポートに「Critical」や「High」の脆弱性が指摘されたときは、次の手順で、AIツールに修正案を出してもらえます。

📋 画面に表示されるAI修正用プロンプトの例

あなたはシニアWebセキュリティエンジニアです。
baessa Security Scanner によって検出された以下の脆弱性を修正する git diff パッチとテストコードを作成してください。

【対象サイト】：https://my-service.example.com
【検出された脆弱性】：Cross-Site Scripting (XSS) at /contact/confirm
【重要度】：HIGH (OWASP Top 10 A03:2021)
【技術的証拠（PoC）】：入力パラメータ 'user_name' がエスケープされずに innerHTML に出力されている

【要求事項】：
1. 最低限の変更で安全にエスケープ処理を行う修正コード（差分形式）を提示してください。
2. 修正によって他の機能が壊れないことを確認するユニットテストを記述してください。

1. 該当する脆弱性カードの 「AIプロンプト付きでコピー」 ボタン（または画面上部のクイックボタン）をクリックします。
2. 普段の開発で使っているAIツール（Claude Code、Cursor、GitHub Copilot、ChatGPTなど）を開き、コピーしたプロンプトを貼り付けて送信します。
3. AIが脆弱性の原因と対策を整理し、お使いの言語やフレームワークに合わせた修正案（git diffなど）を提案します。
4. 提案されたコードの内容を確認し、テストしてから、エディタに反映します。問題がなければ、コミットしてデプロイします。

---

まとめ：定期的に点検して、サイトを安全に保つ

baessa Security Scannerは、難しいセキュリティの知識がなくても、「URLを入力し、AIの提案を確認しながら修正する」 という流れで、基本的なセキュリティ対策を進められるように作られています。

1. Step 1：URLの入力（会員登録は不要。専用の診断ルームが作られます）
2. Step 2：お支払い（1回1,000円の買い切り）
3. Step 3：所有権の確認（security-verify.txt をルート直下に置きます）
4. Step 4：自動診断（通常15〜45分。画面を閉じても続きます）
5. Step 5：レポートの保存（24時間で削除されるため、その前に保存）と、AIプロンプトでの修正

Webサービスやアプリ、WordPressサイトは、公開して終わりではなく、更新しながら運用を続けるものです。新機能を追加したときや、定期的なリリースの節目に、点検として利用してください。