用語集 · ドキュメント

クイックチェック: 1つのホームページを無料で確認し、約10秒で100点満点のスコアとAからDの等級を出します。アカウントは不要で、スキャンは消費しません。
Pulse: サインイン済みアカウント向けの無料スキャンです。通常15秒以内に終わり、ホームページ、メール設定、セキュリティ設定、公開記録を、部外者やボットの視点で確認します。
Deepスキャン: より深く調べるスキャンです。執念深い攻撃者のように、サイトの最大30ページをたどります。サイトの所有を証明する必要があります。
Master Key: テスト用アカウント2つでアプリにサインインし、あるユーザーが別のユーザーのデータを見られるかを確認するテストです。近日公開。
自動チェック: Lockpickが決まった日程で実行するスキャンです。FreeとDeepのプランでは毎週実行され、結果はメールで届きます。
残りのスキャン: プランで今月使えるスキャンのうち、残っている回数です。CLIとAPIでは今も「クレジット」と呼ばれます。
ボーナススキャン: プランに加えて得られるスキャンです。例えば友人を招待したときや、早期アクセスの特典として付与されます。プランのスキャンとは別に表示されます。
グレード: 100点満点のスコアから、サイトがどれだけ攻撃を受けやすいかをまとめたAからDの等級です。
修正が必要な項目: 攻撃を容易にする問題として、スキャンが見つけたものです。開発者はこれを検出事項（finding）と呼びます。
重大度: 修正が必要な項目の重要度を、Critical、High、Medium、Low、Infoの一つの尺度で示したものです。現在、PulseとDeepはHighまでの評価を付けます。Monitorのアドバイザリーは Critical になることがあります。
修正の目安: 検出事項にどれくらい早く対応すべきかを示します。今すぐ修正は、顧客データ、アカウント、キーに届く状態です。今週中に修正は、誰かが悪用できる可能性があります。手が空いたときには、攻撃をしやすくするものです。対応不要は、知っておくとよい情報です。インストールするか検討中のスキル、プラグイン、MCP サーバーでは、同じ段階を「まだインストールしない」「インストール前に確認」「知っておく価値あり」「対応不要」と表します。
証拠: 問題を示すためにスキャンが実際に確認した内容です。ヘッダーや公開記録などが該当し、機密情報は隠されます。
カバレッジ: スキャンが確認できた範囲です。確認できなかった項目は、合格として数えられることはありません。
ブラウザで組み立てられる: 多くのReactアプリのように、ページが訪問者のブラウザ上で動くコードによって組み立てられるサイトです。Pulseはサーバーが送るものを読むため、こうしたサイトの多くは見えません。レポートのScopeタブに、対象外となった範囲が示されます。
再チェック: 同じサイトに対して同じ種類のスキャンを新たに実行し、前回の結果と比べることです。常に1回分のスキャンを使います。CLIでは recheck と呼びます。
このレコードを読み直す: 1つの問題について、公開DNS、証明書、登録記録を無料ですぐに読み直すことです。サイトには何も送らず、スキャンも使いません。
サイトの所有を証明する: Deepに必要な一度きりの手順です。サイトの所有者だけが公開できるDNSレコード、metaタグ、またはファイルを追加すると、Lockpickはすべての Deepスキャンの前にそれを確認します。
証明: サイトを所有している、またはテストする許可があることの確認です。Lockpickはすべてのスキャンの前に確認を求めます。
Monitor: お使いのサイトが使うNext.jsやWordPressなどのソフトウェアについて、公開されたセキュリティ問題を監視し、あなたに関係がありそうな場合に知らせる機能です。
アドバイザリ: ソフトウェアの1つのセキュリティ問題についての公開通知です。通常、問題を修正したリリースが示されています。
影響するおそれあり: お使いのサイトはアドバイザリーの対象ソフトウェアを使っていますが、そのバージョンは確認できません。サイトがすでに修正済みのリリースを使っていれば、何も変更する必要はありません。
影響あり: Lockpickに送信したパッケージのバージョンに、影響を受けるリリースが含まれています。アドバイザリーに示されたリリースに更新してください。
実際に悪用されている: 攻撃者がすでに実際のサイトに対してこの問題を悪用しています。これらを最優先で対処してください。
KEV: CISAの既知の悪用された脆弱性（KEV）リストです。CISAは米国政府のサイバーセキュリティ機関で、このリストには攻撃者が現在利用している問題が示されています。
CVEとGHSA: 既知のセキュリティ問題に付けられた公開IDです。例：CVE-2025-55182。GHSA IDは、同種の通知についてGitHubが付けたIDです。問題を検索するときにだけ必要です。
RCE: リモートコード実行です。攻撃者が自分のコードをサーバー上で実行できてしまう問題で、最も深刻な種類の一つです。
公開記録: 誰でも調べられるドメインに関する情報です。DNSレコード、証明書ログ、登録の詳細などが含まれます。裁判所や政府の記録とは関係ありません。
DNS: インターネットの住所録です。サイトやメールの場所を示し、誰でも読むことができます。
サブドメイン: example.comの下にあるshop.example.comのように、ドメインの下にあるアドレスです。証明書ログに一覧が載るため、誰でも見つけられます。
TXTレコード: 1行のテキストを保持するDNSレコードです。メールのセキュリティ設定や所有の証明に使われます。
SPF: ドメイン名でメールを送信してよいサーバーを示すDNSレコードです。
DKIM: メールに付ける署名で、そのメールが実際にあなたのドメインから送られたことを証明します。
DMARC: SPFまたはDKIMに失敗したメールを、拒否するなどどう扱うかをメールプロバイダーに伝えるDNSレコードです。
HTTPS証明書: ブラウザがサイトに安全に接続し、そのサイトが本物であることを確認できるようにするものです。すべての証明書は公開ログに掲載されます。
セキュリティヘッダー: サイトが各ページとともに送る指示で、一般的な攻撃をブラウザが防ぐよう求めるものです。
コンテンツセキュリティポリシー: ページで実行してよいスクリプトをブラウザに伝えるセキュリティヘッダーです。
HSTS: サイトへのアクセスを必ずHTTPSに限定するよう、ブラウザに指示するセキュリティヘッダーです。
CORS: 訪問者のブラウザで、他のどのウェブサイトがあなたのサイトのデータを読み取れるかを決めるルールです。
ソースマップ: 圧縮されたサイトのコードを、読める形のソースに戻すファイルです。公開されたままだと、アプリの仕組みが分かってしまうことがあります。
公開されたファイル: 設定ファイルやバックアップのように本来は公開されるべきでないファイルで、誰でもダウンロードできてしまう状態のものです。
サブドメインの乗っ取り: 使わなくなったサービスを、サブドメインがまだ指したままになっている状態です。そのため第三者がそのサブドメインを取得し、自分のページを表示できてしまいます。
robots.txt: サイトにあり、自動アクセスする訪問者にどのページを読まないかを伝えるファイルです。Lockpickは見つけたすべてのページでこれに従いますが、訪問者が開くページと読み込むファイルは読み取ります。
ユーザーエージェント: プログラムがサイトにアクセスするときに名乗る名前です。Lockpickのスキャンは通常のブラウザのユーザーエージェントを送信し、代わりに署名付きのSignature-Agentヘッダーで自分がLockpickであることを証明します。
修正ブリーフ: スキャンのすべての修正内容を1つの文書にまとめたものです。開発者やコーディングアシスタント向けに書かれています。
修正プロンプト: Claude CodeやCursorなどのコーディングアシスタントに貼り付けて使う、1つの修正のための指示文です。修正が必要な項目ごとにあり、コピーする前に編集できます。
MCP: Model Context Protocolのことです。AIアシスタントがLockpickのようなツールに接続するための標準規格です。
OAuth: パスワードを渡さずに、アプリに自分の代わりに操作させるための標準的な仕組みです。アシスタントはこの仕組みでLockpickにサインインします。
CLI: ターミナルで使うLockpickです。lockpickコマンドで、npmからlockpicksという名前でインストールします。
APIキー: プログラムが別のサービスのアカウントを使うためのシークレットで、プログラム用のパスワードのようなものです。LockpickのAPIキーを使うと、CLIやリリース時のスキャンでLockpickアカウントを利用できます。CLIはサインインすると取得します。
プロジェクトとラン: CLI、API、一部のウェブアドレスでは、サイトをprojectと、スキャンをrunと呼びます。意味は同じです。