# チェックの方法

Lockpickは、誰でもインターネット上で見られるサイトの情報と、公開されたレコードだけを、決められた上限の中で読み取り、見たことだけを報告します。

Lockpickは、部外者や攻撃者がサイトを見つけるのと同じように、外側からサイトを確認します。すべてのチェックは、サイトが公開しているもの、ドメインに関する公開記録だけを読みます。それ以外は読みません。

## 決められた上限の中で

スキャンの種類ごとに、超えてはならない決まった上限があります。

|  | Pulse | Deep |
| --- | --- | --- |
| In plain words | A quick outside look, the way a stranger or a bot sees your site | A careful walk through your site, the way a determined attacker would |
| What we look at | The homepage and the files it loads, email sender settings (SPF and DMARC), security headers and TLS, and public DNS, certificate and subdomain records, in at most 10 requests. | Up to 30 readable pages and 20 scripts, files that should not be public, admin areas, and your API if you have one. If your site builds its pages in the browser, the report says how much Deep could read. |
| How long | Usually under 15 seconds | 2 to 8 minutes |
| Needs proof you own it | No, just confirm you're allowed | Yes, a DNS record, a meta tag or a file, kept published |

* Pulseはサイトへのリクエストを最大 10 回まで送ります。Deepスキャンは最大 200 回までです。
* リクエストの間隔は空けます。サイトの応答が遅くなったり、失敗したり、拒否したりした場合は、スキャンを途中で止めます。
* DNSレコード、証明書ログ、ドメインの登録情報を読んでも、サイトには一切アクセスしません。

## 見たものだけを報告

検出事項は、それを示す証拠とともに報告されたものだけです。レポートには、スキャンの各部分が何を読めたかが書かれています。確認できなかった部分は、合格ではなく「未確認」と示されます。[検出事項の評価の方法](/ja/docs/security/how-we-rate-findings)では、重大度、確定した検出事項に必要な内容、確からしさ、再チェックで何を証明できるかを説明しています。

## まずは、あなたの許可

すべてのスキャンは、サイトを所有しているか、テストしてよいことの確認から始まります。Deepスキャンでは、さらに[所有の証明](/ja/docs/protect/prove-you-own-your-site)と、毎回の承認が必要です。