Lockpickの検査方法
PulseとDeepが調べる内容、調べない内容、そして結果の読み方。
操作手順の動画を見る
Pickと一緒に約4分で、サイトの追加からAIへの修正の引き渡しまでを確認できます。字幕が画面に表示されるため、音声をオフにしたままでも見られます。
文字起こしを読む
- 0:00 Lockpick の紹介
- Pick が Lockpick を紹介します。公開中のサイトを、見知らぬ第三者と同じく外側から読み取ります。コードを渡す必要はありません。
- 0:44 サイトを追加する
- サイトのアドレスを追加し、そのサイトの所有者であること、またはテストの許可があることを確認します。
- 1:26 最初のスキャン
- 最初の Pulse スキャンを実行します。トップページと公開情報を通常 15 秒以内に読み取り、サイトには何も変更を加えません。
- 2:19 レポートを読む
- 評価を確認し、それから各検出事項を平易な言葉で読みます。根拠となる証拠と、悪用されうる内容も確認できます。
- 3:10 AI で修正する
- 検出事項の修正プロンプトを AI コーディングアシスタントにコピーし、変更を確認してテストします。その後「再チェック」で修正を確かめます。
Pulse と Deep
同じ外側からの確認を 2 つの深さで行います。Pulse はすべてのプランで無料です。Deep は Deep プランに含まれ、サイトの所有を証明したうえで、はるかに深く確認します。
Pulse
部外者やボットがサイトを見るような、手早い外側からの確認
- 確認する内容
- ホームページと、そこで読み込むファイル、メール送信者の設定(SPFとDMARC)、セキュリティヘッダーとTLS、公開DNS、証明書、サブドメインのレコードを、最大10件のリクエストで確認します。
- 所要時間
- 通常15秒以内
- 所有の証明が必要
- いいえ。利用を許可されていることの確認だけです
Deep
攻撃者が本気で調べるような、サイトの丁寧な調査
- 確認する内容
- 最大30ページの閲覧可能なページと20件のスクリプト、公開すべきでないファイル、管理画面、APIがあればそのAPIを確認します。サイトがブラウザでページを組み立てている場合、Deepがどこまで読めたかをレポートに記載します。
- 所要時間
- 2〜8分
- 所有の証明が必要
- はい。DNSレコード、メタタグ、ファイルのいずれかを追加し、公開したままにします
どちらも、サイトに変更を加えることはありません。
検出から修正まで
すべてのスキャンは同じ流れで終わるため、問題が本当に解消されたかを確実に把握できます。
スキャン
Pulse または Deep のスキャンを実行するか、毎週の自動チェックに任せます。
検出事項を読む
各検出事項は、何が開いているか、悪用されうる内容、確認した証拠を平易な言葉で示します。
修正を AI に渡す
修正プロンプトを Lovable、Bolt、Replit、Cursor、Claude Code のいずれかにコピーします。デプロイする前に変更を確認してテストしてください。
再チェックする
再チェックは同じスキャンを実行し、修正を確認します。その月の上限から 1 回分を使います。
DNS の検出事項では、「このレコードを再読み込み」で新たなスキャンを使わず、公開レコードを無料で読み直せます。
毎週の自動チェック
自動チェックを有効にすると、Lockpick はサイトを週に 1 回スキャンし、評価、修正された点、新しく見つかった点、最初に直すべき 1 点をメールで通知します。無料プランは Pulse で週次チェックを行います。Deep プランは Pulse または Deep で週次チェックを行えます。
自動チェックは、ご自身で開始したスキャンと同様に、その月の上限から 1 回分を使います。スキャンの回数を使い切ると、自動チェックは月がリセットされるまで待機し、その旨をメールでお知らせします。
よくある質問
どのウェブサイトを検査できますか？
所有しているサイト、または検査権限があるサイトのみです。開始前に正確な HTTPS オリジンを確認してください。あるサイトの権限は、他のドメイン、共有ホスティング基盤、第三者のサービスには及びません。
セキュリティの知識は必要ですか？
まず平易な説明を読み、必要に応じて証拠を開いてください。エージェントは修正を手伝えますが、提案された変更のレビューとテストが必要です。
スキャンはコーディングエージェントが実行しますか？
スキャンは Lockpick 自身のインフラで実行されます。コーディングエージェントは、お使いのリポジトリで修正プロンプトを適用する際に手伝えます。結果には、根拠となる証拠と次の手順が表示されます。非公開のワークフローや内部ログはレポートに含まれません。
Pulse は何を確認しますか？
ホームページと、そこで読み込むファイル、メール送信者の設定(SPFとDMARC)、セキュリティヘッダーとTLS、公開DNS、証明書、サブドメインのレコードを、最大10件のリクエストで確認します。 ログイン、フォーム送信、データベースへのアクセス、ユーザーロールの分離の証明は行いません。Deep はさらに踏み込み、読み取り可能なページを最大 30 件、スクリプトを 20 件、さらに API まで確認します。ただし、サイトの所有を証明した場合に限ります。サイトがブラウザ上でページを組み立てている場合、レポートには Deep がどこまで読み取れたかが表示されます。
Lockpick は robots.txt に従いますか？
Pulse は、訪問者が開くトップページ 1 枚と、そのページが読み込むファイルを、訪問者のブラウザと同じように読み取ります。加えて robots.txt、サイトマップ、security.txt も読みますが、それ以外のページはクロールしません。Deep は robots.txt を検出のためにのみ読みます。ファイル内の Sitemap 指定や記載されたルートは Deep の確認対象の指針になりますが、robots.txt で禁止されているルートにも Deep はリクエストを送ります。robots.txt は行儀の良いクローラーへの要望であり、アクセス制御ではないためです。Deep は所有を証明済みのサイトでのみ実行されます。
問題がなければ、アプリは安全ですか？
いいえ。完了したチェックで、取得した応答に問題が観測されなかったことを意味します。不明な項目や未検査の範囲は残ります。公開ホームページの検査だけでアプリ全体の安全性は証明できません。
Lockpick がコードを変更しますか？
変更は自動では行われません。修正プロンプトを AI コーディングエージェントと一緒に確認し、提案された修正をテストして、デプロイするかどうかを判断してください。プロンプトをコピーしただけでは検出事項は解決しません。再チェックで新しい証拠と比較します。
スキャンが途中で止まったらどうなりますか？
スキャンが途中で止まった場合、レポートには完了したチェックと完了しなかったチェックが示されます。途中までの結果が「問題なし」と表示されることはありません。
結果は永久に保存されますか？
レポートは、削除するかアカウントを閉じるまでワークスペースに保存されます。パスワード、アクセストークン、顧客データは、対象 URL や修正ブリーフに入力しないでください。
情報源
トップページの脆弱性件数のライブ表示は Zero Day Clock のデータが元になっています。同サイトは 2026 年 1 月から 8 月に公開された 57,871 件の CVE を集計しました。Lockpick は同じ日次ペースで件数を延長しています。
サイトの見え方を確認する
まずはトップページを無料で確認し、そのうえでどこまで調べるかを決めてください。