WordPressセキュリティスキャンサービス

wpReconとWPScan、Sucuri SiteCheck、Wordfenceの比較
wpRecon	WPScan	Sucuri SiteCheck	ワードフェンス
スキャン位置: 入力したURLから、そのサイトに関するどのような情報が公開されているかをチェックするオンラインサービスです。これは、テスト対象のサイトとは一切関係のない第三者機関のツールです。	スキャン位置: コマンドラインスキャナーを自分のマシンから実行し、URLに対してスキャンを実行します。デフォルトでは、バージョン検出、テーマ検出、興味深い発見の検出が行われ、-e オプションを追加すると、プラグイン、ユーザー名、バックアップフォルダも検出対象に追加されます。	スキャン位置: ブラウザがアクセスできる範囲のみを検出するリモートスキャナー。バックドア、フィッシングページ、メール送信ツールなどのサーバー側の脅威は検出対象外です。	スキャン位置: WordPress内部でエンドポイントファイアウォールとして動作するプラグインで、ユーザーがログインしているかどうかなどの詳細情報を把握できます。マルウェアスキャナーは、コアファイル、テーマファイル、プラグインファイルをWordPress.orgのバージョンと比較します。
報告された調査結果：サーバーの種類、IPアドレス、WordPressのバージョン、フロントページのHTMLから検出可能なプラグイン、およびテーマ情報を報告します。また、ディレクトリインデックスが有効になっているかどうかを確認するために、アップロードフォルダとプラグインフォルダの一覧表示も試みます。	報告された調査結果：脆弱性データは、APIトークンを介してWPScan WordPress脆弱性データベースから取得されます。トークンがない場合でもスキャンは実行されますが、脆弱性データは返されません。	報告された調査結果：ページソース内の既知のマルウェア、GoogleおよびPhishTankのブラックリスト登録状況、古いCMSソフトウェア、脆弱なプラグイン、悪意のあるリンク、リダイレクト、iframe、JavaScript、スパムなどを検出します。	報告された調査結果：マルウェアやバックドアを検出し、変更されたコアファイル、テーマファイル、プラグインファイルを修復できます。また、パスキー、TOTP二要素認証、ブルートフォース攻撃対策などのログインセキュリティ機能も追加します。
ライセンスと費用： WPMU DEVのまとめ記事で、制限事項が明記されていない無料スキャナーとして紹介された。	ライセンスと費用： WPScanパブリックソースライセンスに基づくデュアルライセンスです。侵入テスト、非商用利用、自己テストは無料ですが、マネージドサービスなどの商用利用には商用ライセンスが必要です。無料のAPIプランでは、1日あたり25件のリクエストが可能です。	ライセンスと費用：無料のスキャナーです。クライアントとサーバーの両方で完全なスキャンを行うには、Sucuriチームにお問い合わせください。	ライセンスと費用：無料版では、ファイアウォールルールとマルウェアシグネチャの更新が30日間遅延し、サポートはフォーラムで行われます。プレミアム版では、リアルタイムのフィード更新、リアルタイムのIPブロックリスト、国別ブロック、より頻繁なスキャン、有料チケットサポートが追加されます。
	状況とメモ： WordPress.org版のプラグインは、非エンタープライズ顧客向けには既にサポートが終了しており、代わりにJetpack Protectが推奨されていると説明されています。	状況とメモ：免責事項には、リモートスキャナーはアクセスが制限されており、結果が保証されるものではないと記載されている。	状況とメモ：従来のSMSベースの二段階認証は2026年7月1日頃に廃止される予定であり、これを使用しているサイトはTOTPに移行する必要があります。

wpReconとWPScan、Sucuri SiteCheck、Wordfenceの比較

wpRecon

WPScan

Sucuri SiteCheck

ワードフェンス

スキャン位置: 入力したURLから、そのサイトに関するどのような情報が公開されているかをチェックするオンラインサービスです。これは、テスト対象のサイトとは一切関係のない第三者機関のツールです。

スキャン位置: コマンドラインスキャナーを自分のマシンから実行し、URLに対してスキャンを実行します。デフォルトでは、バージョン検出、テーマ検出、興味深い発見の検出が行われ、-e オプションを追加すると、プラグイン、ユーザー名、バックアップフォルダも検出対象に追加されます。

スキャン位置: ブラウザがアクセスできる範囲のみを検出するリモートスキャナー。バックドア、フィッシングページ、メール送信ツールなどのサーバー側の脅威は検出対象外です。

スキャン位置: WordPress内部でエンドポイントファイアウォールとして動作するプラグインで、ユーザーがログインしているかどうかなどの詳細情報を把握できます。マルウェアスキャナーは、コアファイル、テーマファイル、プラグインファイルをWordPress.orgのバージョンと比較します。

報告された調査結果： サーバーの種類、IPアドレス、WordPressのバージョン、フロントページのHTMLから検出可能なプラグイン、およびテーマ情報を報告します。また、ディレクトリインデックスが有効になっているかどうかを確認するために、アップロードフォルダとプラグインフォルダの一覧表示も試みます。

報告された調査結果： 脆弱性データは、APIトークンを介してWPScan WordPress脆弱性データベースから取得されます。トークンがない場合でもスキャンは実行されますが、脆弱性データは返されません。

報告された調査結果： ページソース内の既知のマルウェア、GoogleおよびPhishTankのブラックリスト登録状況、古いCMSソフトウェア、脆弱なプラグイン、悪意のあるリンク、リダイレクト、iframe、JavaScript、スパムなどを検出します。

報告された調査結果： マルウェアやバックドアを検出し、変更されたコアファイル、テーマファイル、プラグインファイルを修復できます。また、パスキー、TOTP二要素認証、ブルートフォース攻撃対策などのログインセキュリティ機能も追加します。

ライセンスと費用： WPMU DEVのまとめ記事で、制限事項が明記されていない無料スキャナーとして紹介された。

ライセンスと費用： WPScanパブリックソースライセンスに基づくデュアルライセンスです。侵入テスト、非商用利用、自己テストは無料ですが、マネージドサービスなどの商用利用には商用ライセンスが必要です。無料のAPIプランでは、1日あたり25件のリクエストが可能です。

ライセンスと費用： 無料のスキャナーです。クライアントとサーバーの両方で完全なスキャンを行うには、Sucuriチームにお問い合わせください。

ライセンスと費用： 無料版では、ファイアウォールルールとマルウェアシグネチャの更新が30日間遅延し、サポートはフォーラムで行われます。プレミアム版では、リアルタイムのフィード更新、リアルタイムのIPブロックリスト、国別ブロック、より頻繁なスキャン、有料チケットサポートが追加されます。

状況とメモ： WordPress.org版のプラグインは、非エンタープライズ顧客向けには既にサポートが終了しており、代わりにJetpack Protectが推奨されていると説明されています。

状況とメモ： 免責事項には、リモートスキャナーはアクセスが制限されており、結果が保証されるものではないと記載されている。

状況とメモ： 従来のSMSベースの二段階認証は2026年7月1日頃に廃止される予定であり、これを使用しているサイトはTOTPに移行する必要があります。