自社サイトを詳しく点検するAIプロンプト集

架空の入力例

以下は架空の資料で、実サイトにはアクセスしないでください。自社が公開したいURLは /service と /guide の2本。提示された全応答は200。/service の配信HTMLには meta name="robots" content="noindex" があり、制作時に入れてそのまま残したと担当者が説明しています。/guide は index,follow。robots.txt は両方を許可。canonicalは各自分自身。Search Console情報、レンダリング結果、他のURL一覧はありません。この資料の範囲で原因と恒久対策を分析してください。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
公開対象/serviceのnoindex残存を先に直す案です。実際の検索登録は未確認です。

2. 全指摘
F1
根拠：配信HTMLのmeta robotsと制作時設定
原因の確度：配信HTMLのnoindex残存は確定。公開手順の切替漏れは担当者説明と整合する仮説です。
応急処置：対象と公開意図を確認し、このURLの設定を見直す。
恒久対策：本番の公開対象からnoindexを外す。非公開対象は維持し、環境別の出力設定と公開前確認に対象区分を持たせる。
影響先：/serviceの検索表示条件。非公開ページの設定を巻き込まない。
別の説明の検討：非公開を意図したページなら解除は不適切だが、本例は公開意図が明示されている。
再確認：/serviceと/guideのHTML・必要ヘッダー・robotsを再確認。非公開ページは非表示を維持。Search Consoleの取得・登録は権限ある集計で追う。

3. 全確認項目
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
seo-01-C1【未確認】提示2URLの公開意図は明確。全サイト一覧はない
seo-01-C2【未確認】2URLの200と自己canonicalのみ確認。転送・本文未確認
seo-01-C3【未確認】/serviceのnoindexが公開意図に反する。X-Robots-Tagは未確認
seo-01-C4【未確認】レンダリング結果がなく未確認
seo-01-C5【未確認】多言語等の有無が不明
seo-01-C6【未確認】Search Console情報なし
seo-01-C3-finding【問題あり】配信HTMLのmeta robotsと制作時設定
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
X-Robots-Tagの非秘密状態、公開対象一覧、レンダリング、Search Console集計の順。
記載した対策・再確認は提案であり、修正や再実行はしていません。

URLから始める

検索する人に必要な情報が揃っているか

調べること: 検索意図とページ内容のずれ、説明不足、根拠の弱さ。
用意するもの: 対象ページと想定するお客様・検索語。あれば検索実績の集計。
得られる結果: 情報の不足箇所、見出し・本文の修正案、効果の確かめ方。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

架空の修理サービスページです。目的は店舗の業務用冷蔵庫が故障した人からの相談。titleは「地域に貢献する総合サービス」。h1は「未来をともに」。本文は「高品質なサービスをご提供します」のみ。公開してよい確定情報は「業務用冷蔵庫の出張修理」「対応地域はA市」「受付は平日9〜17時」。料金、即日対応、実績、検索実績は未確認です。提供した文章だけで点検してください。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
修理サービスと対応地域が読み取れない説明を優先します。

2. 全指摘
F1
根拠：title/h1/本文と確定情報の差
原因の確度：提示タイトル・見出し・本文の情報欠落は確定。原稿管理の経緯は未確認。
応急処置：確定しているサービス名と地域を本文へ追記する案。
恒久対策：titleを「A市の業務用冷蔵庫の出張修理」、見出しを「業務用冷蔵庫の故障をご相談ください」とし、平日9〜17時を明記。原稿項目に対象設備・地域・受付を設ける。
影響先：対象ページと同型のサービス原稿。未確定の料金・即日対応・実績を加えない。
別の説明の検討：ブランド紹介だけが目的なら表現の裁量はあるが、本例の目的は修理相談である。
再確認：対象者が対象設備・地域・受付時間を読み取れるかを確認。料金等は担当者確認後に掲載し、順位効果は検索実績で別に比較。

3. 全確認項目
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
seo-02-C1【未確認】想定客と相談目的は提示済み。実検索語・量は未確認
seo-02-C2【未確認】title/h1/本文に修理と地域がない
seo-02-C3【未確認】料金・受付方法等は不明。確定時間のみ使える
seo-02-C4【未確認】実績・写真・更新情報なし
seo-02-C5【未確認】抽象表現を具体情報へ置換可能。全ページは未確認
seo-02-C6【未確認】競合資料・自社他ページなし
seo-02-C2-finding【問題あり】title/h1/本文と確定情報の差
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
料金・受付方法の確定情報と、利用許可のある検索集計。
記載した対策・再確認は提案であり、修正や再実行はしていません。

URLから始める

サイト構成と内部リンクを点検する

調べること: 必要なページへたどり着けるか、ページの役割が重なっていないか。
用意するもの: サイトURL。あればページ一覧と公開したいページの目的。
得られる結果: ページ同士のつながり、不足リンク、統合・整理の具体案。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

架空のサイトの全4ページを提示します。/ は /services と /contact にリンク。/services は / と /contact にリンク。/service-a は /contact にだけリンク。/contact は / にリンク。サイトマップは4本すべてを掲載。/service-a は主力サービスの紹介で、4ページのHTML内に /service-a へのリンクはありません。4本は200でcanonicalは自己参照。入力はこの情報で全件です。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
全4ページのうち/service-aへ入る内部リンクがありません。

2. 全指摘
F1
根拠：全4ページのリンク一覧
原因の確度：リンク一覧に被リンクがない事実は確定。ページ追加手順の欠落は仮説。
応急処置：/servicesに主力サービスのリンクを追加する案。
恒久対策：/servicesから/service-aへサービス名と説明付きリンクを設ける。必要性を確認してトップにも置く。ページ追加時は一覧掲載と到達経路を一緒に確認する。
影響先：全4ページの経路。URL削除や変更は不要。
別の説明の検討：サイトマップ掲載は検索発見の材料だが、通常利用者の閲覧経路にはならない。
再確認：全4ページのリンク表を再作成し、トップ→/services→/service-a→/contactを通常閲覧で確認。既存の/contact経路も維持。

3. 全確認項目
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
seo-03-C1【未確認】全4ページの全件提示を前提に役割表を作成
seo-03-C2【未確認】/service-aへの入リンクが全4ページで0件
seo-03-C3【未確認】リンク文字・パンくずの実表示は未確認
seo-03-C4【未確認】各本文がなく重複や統合要否は未確認
seo-03-C5【未確認】追加の階層機能は提示なし。適用有無の確認が必要
seo-03-C6【未確認】リンク追加案は上記。200/自己canonicalの問題は計上しない
seo-03-C2-finding【問題あり】全4ページのリンク一覧
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
実際のリンク文字と通常ブラウザの到達確認。
記載した対策・再確認は提案であり、修正や再実行はしていません。

LLMO・AI検索

URLから始める

AIがサイトの情報を取得・理解できるか

調べること: AI検索サービスごとの取得条件と、読み取れる本文・情報の整合性。
用意するもの: 公開URLと調べたいAI検索サービス。あれば配信HTML・公開設定。
得られる結果: 情報取得の障害、サービスごとの未確認事項と改善案。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

架空の製品紹介 /product の公開HTMLは h1「予約管理」と img alt="製品画像" だけです。通常ブラウザではその画像に「小規模サロン向け・スタッフ別の空き時間を管理」と文字で表示されています。本文のテキスト要素には説明がありません。検索AIの取得記録はなく、対象はGoogleのAI検索です。画像の内容はこの説明を提供資料として使い、実サイトへアクセスしないでください。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
小規模サロン向けの機能説明が画像だけにあります。AIの実取得失敗とは断定しません。

2. 全指摘
F1
根拠：HTMLと画像の文字の差
原因の確度：HTML本文に主要説明がないことは確定。AIが取得できないことは未確認。
応急処置：画像の近くに確定情報を短く補う案。
恒久対策：/product本文に「小規模サロン向け」「スタッフ別の空き時間を管理」を記述し、画像代替説明も内容に合わせる。製品の重要説明を本文で管理する。
影響先：画像のデザインを維持し、本文も同じ提供内容にする。
別の説明の検討：対象AIが画像から読む可能性はあり、取得不能の証拠にはならない。HTMLだけでは説明不足という限定した指摘。
再確認：配信HTMLとブラウザ双方に確定した対象者・機能があるか照合。AI取得や引用は別の実記録で確認。

3. 全確認項目
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
llmo-01-C1【未確認】対象はGoogleのAI検索。学習用の仕様は対象外
llmo-01-C2【未確認】画像の情報がHTML本文にない
llmo-01-C3【未確認】robotsや配信側の設定なし
llmo-01-C4【未確認】対象者と機能をHTML単体から読めない
llmo-01-C5【未確認】構造化データ未提示。llms.txtを必須にしない
llmo-01-C6【未確認】本文改善案は作成。実取得改善は未測定
llmo-01-C2-finding【問題あり】HTMLと画像の文字の差
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
必要な公開設定の状態、配信HTML全体、許可された実取得記録。
記載した対策・再確認は提案であり、修正や再実行はしていません。

URLから始める

AIの回答の根拠になる情報を整える

調べること: 会社・商品情報の矛盾、根拠・条件・更新情報の不足。
用意するもの: 自社の紹介・サービス・FAQ等の公開ページ。あれば公開可能な正本情報。
得られる結果: 矛盾・不足の一覧と、事実を確認して直すための原稿案。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

架空の公開ページA（サービス紹介）は「受付 平日9〜17時」、ページB（FAQ）は「24時間いつでも担当者が対応」と書いています。両ページの更新日は不明。代表からどちらが正しいかの回答はなく、運用情報もありません。この2つの抜粋を全資料として、矛盾と直し方を分析してください。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
2ページの受付・対応時間の表現を確認し、正本を決める必要があります。

2. 全指摘
F1
根拠：AとBの抜粋
原因の確度：表記差は確定。受付と担当者対応が別の時間を指す可能性もあり、実態の誤りと管理経緯は未確定。
応急処置：どちらが正しいか推測して統一せず、担当者に受付と対応を分けて確認。
恒久対策：受付可能時間と担当者対応時間を確定し、原文の役割を明示して両ページへ反映。同じ情報の正本と更新時の確認先を定める。
影響先：ページAとB。営業時間変更時は両方を同時照合する。
別の説明の検討：24時間がフォーム受付だけを指すなら運用自体は両立する。担当者が対応するとのBの表現を確認する。
再確認：担当者が確定した受付・対応時間と両ページの全文を照合。矛盾が消え、未確定値が紛れ込まないこと。

3. 全確認項目
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
llmo-02-C1【未確認】時間に関する質問にA/Bが該当。その他質問は未確認
llmo-02-C2【未確認】Aは平日9〜17時、Bは24時間担当者対応
llmo-02-C3【未確認】根拠となる運用情報・正確な値なし
llmo-02-C4【未確認】両ページの更新日・原典なし
llmo-02-C5【未確認】受付と対応の意味が混ざり読者が誤認し得る
llmo-02-C6【未確認】正本未確定につき具体時間の書換えは保留
llmo-02-C2-finding【問題あり】AとBの抜粋
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
代表へ「受付できる時間と担当者が対応する時間」を一括確認。
記載した対策・再確認は提案であり、修正や再実行はしていません。

質問とAI検索の回答を用意

AI検索で自社がどう紹介されるか確かめる

調べること: 指定した質問に対する自社の言及・引用と、回答中の事実誤認。
用意するもの: 公開会社情報、対象サービス、確かめたい質問。取得済み回答でも可。
得られる結果: 質問ごとの観察記録、誤認と情報不足の切り分け、修正候補。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

架空の会社「サンプル予約社」の公式説明は「法人向け予約管理。電話受付は平日9〜17時」です。公開質問「サンプル予約社の電話受付時間は？」への取得済み回答として、架空の検索AI A、2026-09-29 10:00 JST、検索機能ON、回答「電話は24時間受け付けます」、引用URLなし、という記録が1件あります。これは合成の観察記録です。外部AIへ問い合わせず、この1件だけを分析してください。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
合成観察1件で電話受付時間が公式説明と異なります。実サービスへの調査はしていません。

2. 全指摘
F1
根拠：質問・AI名・日時・回答・引用なし
原因の確度：誤りは照合可能。生成元・原因は引用も資料もなく未確定。
応急処置：この回答を自社案内として使わない。
恒久対策：自社の公開表記に不整合がないか確認し、あれば正本へ合わせる。外部回答のみの問題なら対応可能な訂正方法を調べ、同条件で再観察する案。
影響先：自社で直せる範囲と外部回答を分離。引用・掲載は保証しない。
別の説明の検討：古い営業時間や別社の混同という仮説はあるが証拠がない。引用なしから原因を作らない。
再確認：同じ質問・サービス・検索ON・時点を記録し、公式説明との一致と引用先を比較。今回は実行しない。

3. 全確認項目
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
llmo-03-C1【未確認】社名入りの電話受付質問1件。地域は記録なし
llmo-03-C2【未確認】外部への実行なし。合成記録のみ
llmo-03-C3【未確認】架空AI A、2026-09-29 10:00 JST、検索ON、回答24時間、引用なしを記録
llmo-03-C4【未確認】公式は平日9〜17時。合成回答の24時間と不一致
llmo-03-C5【未確認】合成観察1件中の誤認1件。実サービスの掲載率は算出しない
llmo-03-C6【未確認】自社ページ不整合・外部生成原因は未確認
llmo-03-C4-finding【問題あり】質問・AI名・日時・回答・引用なし
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
必要なら自社の関連公開ページ一覧と、許可された実サービスの同条件観察。
記載した対策・再確認は提案であり、修正や再実行はしていません。

セキュリティ

URLから始める

公開設定と情報の見え方を点検する

調べること: 意図しない情報公開や、通信・ブラウザ側の保護設定。
用意するもの: 自社サイトURLと公開方針。あれば秘密値を含まない設定情報。
得られる結果: 確認できた懸念、影響条件、設定を直す案と再確認手順。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

架空の公開ページの非秘密設定です。HTTPSで表示、混在コンテンツなし。全ページに Content-Security-Policy: frame-ancestors 'none' が付いています。X-Frame-Optionsはありません。例外的に埋め込みを許可する用途はありません。実ブラウザで別サイトからの埋め込みを試した記録、サーバーコード、Cookie状態はありません。設定の不足を捏造せず評価してください。 合成のエラー画面には「/srv/internal-app/src/db.ts:42 SQL接続失敗」という内部パスと処理情報が表示されています。秘密値や実在する情報は含みません。運用仕様では詳細な障害情報は利用者に表示しないことになっています。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
公開エラーの内部パス・処理情報露出を是正する案です。X-Frame-Options欠落だけは問題にしません。

2. 全指摘
F1
根拠：合成の表示と公開表示仕様
原因の確度：詳細情報の露出は合成画面と仕様から確定。例外処理の実装箇所は未確認。
応急処置：公開画面の詳細を一般向け案内へ変える案。
恒久対策：共通エラー応答で利用者向け案内と問い合わせ番号を返し、必要な詳細は権限を絞った内部記録へ分ける。秘密値は記録しない。
影響先：全ての公開エラー経路とサポートの原因追跡。正常応答は維持。
別の説明の検討：技術者向けの許可された内部画面なら異なるが、例は公開画面で詳細非表示の仕様。frame-ancestorsは代替の埋め込み制御。
再確認：検証環境の合成エラーで公開本文に内部パスが出ず、番号で制限された記録へ照合できること。実際の配信と埋め込み制限も別に確認。

3. 全確認項目
参照：WSTG-ERRH-01（latest、2026-09-29確認）。公開エラーの情報露出の観点を適用。
https://wstg.owasp.org/latest/4-Web_Application_Security_Testing/08-Error_Handling/01-Improper_Error_Handling/
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
security-01-C1【未確認】HTTPS/混在なしの提示。公開エラーの内部パス露出あり
security-01-C2【未確認】CSPの非秘密値だけ提示。その他は未確認
security-01-C3【未確認】frame-ancestors noneあり、XFO欠落のみでは指摘しない。実挙動は未確認
security-01-C4【未確認】公開ファイル一覧なし。秘密ファイル探索はしない
security-01-C5【未確認】公開エラーのみ判断。キャッシュ/CORS/認証は未確認
security-01-C6【未確認】WSTGの設定・エラー処理観点に対応。内部全体は未確認
security-01-C1-finding【問題あり】合成の表示と公開表示仕様
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
公開応答を作るコードの許可された抜粋と、秘密値を含まない内部記録方式。
記載した対策・再確認は提案であり、修正や再実行はしていません。

許可されたコード・仕様を用意

ログイン・権限・データ保護を点検する

調べること: 利用者ごとのアクセス制御と、認証後のデータの扱い。
用意するもの: 権限の仕様と許可された非機密コード。再現は検証環境・テスト用アカウント。
得られる結果: 権限表と確認状況、制御不足の根拠、修正・回帰確認の案。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

合成コードの仕様は「一般利用者は自分の文書だけ読める」。認証済みとしてreq.user.idが入る前提です。ハンドラー全文は `async function readDoc(req) { return db.docs.findById(req.params.id); }`。共通ミドルウェア全文は `if (!req.user) throw Unauthorized();`。findByIdはID一致で取得し所有者を確認しません。合成DBはD1:owner=A、D2:owner=B。実行せず静的に分析してください。他の認可層はこの合成例にはありません。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
文書取得時の所有者認可がありません。認証済みであることだけでは要件を満たしません。

2. 全指摘
F1
根拠：ハンドラー・ミドルウェア・DB仕様
原因の確度：提示された全ハンドラー・ミドルウェア・findById仕様から、所有者条件なしと確定。実サイトでの悪用は未実施。
応急処置：検証結果が出るまで影響する取得経路の制限を検討する案。
恒久対策：文書取得のサーバー処理でidとownerを条件に含めるか共通認可を呼ぶ。他の一覧・添付経路にも同じ許可基準を適用する。
影響先：A→D1等の正当な参照を維持。拒否応答で他人の文書有無を不要に漏らさない。
別の説明の検討：前段の認可があれば成立しない可能性はあるが、この合成例は他の認可層なしと明記。
再確認：合成環境でA→D1許可、B→D2許可、A→D2/B→D1/未認証は拒否。コードだけの静的確認と実行結果を分ける。

3. 全確認項目
参照：WSTG-ATHZ-04（v4.2、2026-09-29確認）。所有者ごとの文書参照の観点を適用。
https://wstg.owasp.org/v4.2/4-Web_Application_Security_Testing/05-Authorization_Testing/04-Testing_for_Insecure_Direct_Object_References/
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
security-02-C1【未確認】一般利用者の読取権限をA/B×D1/D2に展開。書込仕様はなし
security-02-C2【未確認】未認証拒否のコードのみ確認。失効や回復は未確認
security-02-C3【未確認】所有者条件がない
security-02-C4【未確認】一覧・添付などの有無と実装は未確認
security-02-C5【未確認】Cookie/CSRF/キャッシュ/失敗応答の材料なし
security-02-C6【未確認】本例に他の認可層なし。実環境の成立は未確認
security-02-C3-finding【問題あり】ハンドラー・ミドルウェア・DB仕様
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
共通の認可経路、一覧・添付の有無。実証は許可された検証環境のみ。
記載した対策・再確認は提案であり、修正や再実行はしていません。

許可されたコード・仕様を用意

コード・外部ライブラリ・設定を点検する

調べること: 入力の扱い、使用部品、構成設定に由来するセキュリティ上の問題。
用意するもの: 利用を許可したコード・構成・依存一覧。秘密値は不要。
得られる結果: データの流れに沿った指摘と、成立条件・修正案・検証方法。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

架空の検索コードです。全文は `const sql = "SELECT name FROM products WHERE name = '" + input + "'"; return db.query(sql);`。inputはリクエストの文字列をそのまま受け取り、前段の変換はありません。db.queryは渡された文字列をSQLとして実行します。実DBも依存ソフトの版情報もありません。コードは実行せず、静的分析と修正案だけを出してください。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
利用者入力がSQLの命令文に直接入る経路があります。

2. 全指摘
F1
根拠：inputからdb.queryへの経路
原因の確度：入力無変換→文字列連結→SQL実行という静的な経路は確定。実環境での実行結果は未確認。
応急処置：対象検索を一時制限する案。危険文字の削除だけで完了しない。
恒久対策：採用DBの公式APIを確認し、命令と値を分離したパラメータ化クエリへ変更する。入力連結する他クエリも全件確認する。
影響先：引用符を含む正当な商品名と既存検索条件。文字を消して検索結果を変えない。
別の説明の検討：安全なクエリ変換層があれば変わるが、例は文字列をそのまま実行すると明記。
再確認：合成DBで普通の名前・引用符を含む名前・空文字・不正形式を比較し、値が命令として扱われないこと。公式APIに合わせた実装後に行う。

3. 全確認項目
参照：WSTG-INPV-05（v4.2、2026-09-29確認）。SQLに渡る入力経路の観点を適用。
https://wstg.owasp.org/v4.2/4-Web_Application_Security_Testing/07-Input_Validation_Testing/05-Testing_for_SQL_Injection/
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
security-03-C1【未確認】リクエスト入力からdb.queryまで提示済み
security-03-C2【未確認】SQLと値を直接連結している
security-03-C3【未確認】環境設定はなし
security-03-C4【未確認】依存の版なし。CVEや脆弱性件数を作らない
security-03-C5【未確認】暗号や他の権限処理は材料なし
security-03-C6【未確認】パラメータ化案。具体APIは未確定
security-03-C2-finding【問題あり】inputからdb.queryへの経路
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
DB種類・版・クエリAPIの非秘密仕様と関連する入力処理コード。
記載した対策・再確認は提案であり、修正や再実行はしていません。

サイトのバグ

URLから始める

PC・スマホの表示と操作を点検する

調べること: 画面幅や操作方法による表示崩れ、使えない部品、見落とされる状態。
用意するもの: サイトURLと重要な画面・操作。あれば対象端末・ブラウザの条件。
得られる結果: 再現条件付きの不具合一覧と、レイアウト・操作の修正案。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

合成の問い合わせページの測定記録です。viewport幅320px、本文の利用可能幅288px、フォーム外枠の幅420px、横スクロールあり。390pxでも本文358pxに対して420px。PC1280pxでは収まります。適用されるCSSは `.contact-form { width: 420px; }` のみ。ほかの状態・ブラウザは未確認です。実ページへアクセスせずこの記録を分析してください。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
320px/390pxでフォームが親幅を超えています。

2. 全指摘
F1
根拠：320/390/1280pxの測定とCSS
原因の確度：width:420px固定と提示された利用可能幅の差が原因と確定。その他CSSは本例にない。
応急処置：固定幅を外して狭い画面を使えるようにする案。
恒久対策：width:100%、max-width:420px、box-sizing:border-box等で親幅内に収める。フォーム内の子要素とエラー文も同じ幅で折り返す。
影響先：PCの上限幅を保ち、スマホの入力とエラー表示を維持。
別の説明の検討：意図的な横スクロール表示とは考えにくい問い合わせフォームだが、全体仕様は別途確認。
再確認：320/390/1280pxで外枠と子要素が本文内に収まること。長文・エラー・拡大時に押せること。実端末は別確認。

3. 全確認項目
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
bug-01-C1【未確認】問い合わせ通常状態のみ。空/失敗等は未確認
bug-01-C2【未確認】320と390で超過、1280は提示範囲では収まる
bug-01-C3【未確認】操作記録なし
bug-01-C4【未確認】キーボード/ラベル/拡大は未確認
bug-01-C5【未確認】固定420pxが提示幅を超える
bug-01-C6【未確認】記録条件は3幅。実端末と他ブラウザは未確認
bug-01-C2-finding【問題あり】320/390/1280pxの測定とCSS
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
関連子要素と長文・エラー状態、許可されたブラウザでの操作。
記載した対策・再確認は提案であり、修正や再実行はしていません。

期待する動作と検証環境を用意

フォーム・検索・申込みの動作を点検する

調べること: 主要機能の入力、状態遷移、例外時の戻り方、重複操作。
用意するもの: 対象機能と期待する動作。送信等の再現は許可された検証環境で。
得られる結果: 操作別の確認表、不具合の再現手順、根本対策と回帰確認。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

合成の検証環境の記録です。注文確認画面でボタンを2回押すとPOSTが2件。サーバーは毎回createOrderを呼び、同じ操作を識別する仕組みはありません。合成DBに同じ商品・同じ利用者・同じ時刻帯の注文O1/O2が作られました。決済やメールは接続していません。ボタンを1回押した場合は1注文。記録の分析だけを行ってください。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
二重クリックが二重注文になるため、サーバー側で同一操作を識別する対策が必要です。

2. 全指摘
F1
根拠：2POSTとO1/O2の合成記録
原因の確度：2POSTのたびcreateOrderを呼び、重複識別なし。合成DBで2件作成という根拠あり。
応急処置：処理中のボタンを無効にして連打を抑制する案。
恒久対策：同じ注文操作に識別子を持たせ、サーバーで原子的に一度だけ作成し、同じ操作の再試行は既存結果を返す。新しい正当な注文は区別する。
影響先：画面とサーバーの注文経路。決済・メールは本例では未接続、実影響を推測しない。
別の説明の検討：利用者が意図した別注文なら重複扱いは不適切。今回は同一確認画面の二重クリックと明示。
再確認：合成環境で連打・同時要求・応答喪失後の同じ識別子再試行は1注文、別操作は別注文。戻る/再読込も確認する。

3. 全確認項目
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
bug-02-C1【未確認】確認→作成のみ記録。取消等は未確認
bug-02-C2【未確認】1回押下で1注文のみ確認。入力境界は未確認
bug-02-C3【未確認】二重クリックで2POST。その他状態は未確認
bug-02-C4【未確認】入力検証コードなし
bug-02-C5【未確認】O1/O2が同時期の同一商品・利用者として提示
bug-02-C6【未確認】重複防止がない。正常な別注文を壊さない案
bug-02-C5-finding【問題あり】2POSTとO1/O2の合成記録
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
注文操作の識別期間とサーバー保存仕様、通信断を含む合成再現。
記載した対策・再確認は提案であり、修正や再実行はしていません。

URLから始める

表示速度・読み込み・通信の不具合を調べる

調べること: 遅さ・表示のずれ・資源の取得失敗と、その発生条件。
用意するもの: URL、遅い場面、対象端末。あれば秘密情報を除いた測定結果。
得られる結果: 条件別の測定整理、原因の切り分け、変更案と比較方法。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

合成の測定です。同じモバイル幅・通信条件で3回とも、画像が来た直後に本文が下へ280px移動しました。HTMLは幅・高さの指定がないimg。CSSにも縦横比の指定はありません。画像自体の寸法は1200×800。表示速度、応答時間、実利用者データは取得していません。この記録から分かる範囲を分析してください。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
画像の到着直後に本文が動きます。まず画像領域の事前確保を比較する案です。

2. 全指摘
F1
根拠：同条件3回の280px移動と寸法未指定
原因の確度：寸法・比率未指定が有力仮説。3回の相関はあるが他の同時処理は未確認。
応急処置：重要画像に比率を指定する案。
恒久対策：1200×800の比率でwidth/heightまたはaspect-ratioを設定し、レスポンシブ幅に応じた高さを読み込み前に確保。別比率画像も実寸法から設定する。
影響先：画像表示・トリミング・周囲の本文を維持。全体速度向上とは別の問題。
別の説明の検討：同時に挿入される別要素が原因の可能性もある。寸法だけを変えた比較で切り分ける。
再確認：同じ幅・通信条件で3回以上比較し、画像到着前後の位置が変わらず画像比率が保たれるか測定。他指標は別測定。

3. 全確認項目
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
bug-03-C1【未確認】同じモバイル条件3回。具体端末・幅は未提示
bug-03-C2【未確認】位置変動のみ。LCP/INP/CLS値は未計測
bug-03-C3【未確認】画像実寸だけ提示。容量・API・フォント不明
bug-03-C4【未確認】寸法未指定と280px移動が対応、他要因は未確認
bug-03-C5【未確認】失敗/再訪記録なし
bug-03-C6【未確認】同条件で前後比較する案、効果は未測定
bug-03-C4-finding【問題あり】同条件3回の280px移動と寸法未指定
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
実際の幅・端末条件と、画像寸法だけ変更した許可環境の比較記録。
記載した対策・再確認は提案であり、修正や再実行はしていません。

エラー分析

秘密情報を除いたエラー記録を用意

ブラウザのエラーから原因を絞り込む

調べること: 画面上のエラーと操作・通信・コードの関係。
用意するもの: 秘密情報を除いたエラー文、起きた操作、関連コードや通信状態。
得られる結果: 発生経路、原因候補の比較、具体的な修正案と再現確認。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

合成のブラウザ記録です。APIは200で `{items:null}` を返し、その直後に `Cannot read properties of null (reading 'map')`。対象コードは `const rows = response.items.map(renderRow)`。仕様は「0件ならitemsは空配列」。正常な記録は `{items:[]}` でエラーなし。他のコード、実環境の情報はありません。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
items:nullを配列として扱い描画が停止しています。空一覧と異常応答を分ける必要があります。

2. 全指摘
F1
根拠：応答・例外・コード・空配列仕様
原因の確度：API仕様違反のnullとmap呼出が直接の原因。APIがなぜnullを作るかは未確定。
応急処置：利用者に再読込だけを強いず、読み込めない状態を案内する案。
恒久対策：APIで0件を空配列として返す。応答境界で形式を確認し、不正な値は通信・処理エラーへ進める。全値を空一覧へ変換して隠さない。
影響先：0件・複数件の正常一覧と異常応答の区別、同種の描画箇所。
別の説明の検討：拡張機能等の別原因も一般にはあるが、提示されたnull→mapと例外は直接対応する。
再確認：空配列は正常空一覧、複数件は表示、不正形式/通信失敗は案内となること。APIの0件分岐も確認。

3. 全確認項目
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
error-01-C1【未確認】ブラウザ版・発生日時は未提示
error-01-C2【未確認】200 items:nullの直後の例外とコードは提示
error-01-C3【未確認】nullにmapを呼ぶ経路。API内部原因は未確認
error-01-C4【未確認】正常[]と失敗nullを静的比較。今回は未実行
error-01-C5【未確認】API契約と境界検証の案
error-01-C6【未確認】0/複数/不正/通信失敗の再確認は未実施
error-01-C3-finding【問題あり】応答・例外・コード・空配列仕様
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
APIの0件応答を作る許可コードと、秘密を除いた該当操作の記録。
記載した対策・再確認は提案であり、修正や再実行はしていません。

秘密情報を除いたエラー記録を用意

サーバー・API・外部連携のエラーを調べる

調べること: 処理のどこで失敗したかと、結果不明・部分成功の扱い。
用意するもの: 秘密情報を除いた時系列、状態コード、関連コード・設定の有無。
得られる結果: 処理経路と失敗点、再試行の可否、恒久対策と確認手順。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

合成の外部連携です。処理R1を受け付け、外部の作成APIに1回POSTしました。自社側は3秒でタイムアウト。外部が受理したか、作成されたかの記録はまだありません。利用者画面は「失敗しました、もう一度押してください」。同一処理の重複防止は未実装。実APIには接続せず分析してください。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
R1は失敗ではなく結果不明です。外部の受理状態を照合するまで再送を促せません。

2. 全指摘
F1
根拠：1POST・3秒timeout・画面文言
原因の確度：3秒で自社側の待機が終了したことは確定。外部失敗や遅延の原因は不明。画面はこの差を表現できていない。
応急処置：再操作を促す案内を止め、処理状況確認中の案内へ変える提案。
恒久対策：結果不明を状態として保持し、外部記録を照合して成功/失敗を確定する。作成APIの仕様に合う同一操作の重複防止と復帰経路を設ける。
影響先：利用者画面・自社の状態・外部作成の整合。実際の重複発生は未確認。
別の説明の検討：外部が未受理なら作成されていないが、timeoutだけでは区別不能。3秒延長だけで恒久解決しない。
再確認：合成外部応答で成功/明確な失敗/応答喪失/遅延/部分成功を確認。照合後にだけ復帰し同じR1を重複作成しない。

3. 全確認項目
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
error-02-C1【未確認】R1→POST1回→3秒timeout→再操作案内の順
error-02-C2【未確認】最初の異常はtimeout。原因は未確認
error-02-C3【未確認】結果不明なのに失敗表示と再送誘導
error-02-C4【未確認】頻度・正常差・外部公式制限は未提示
error-02-C5【未確認】重複防止なし。必要方式は外部仕様次第
error-02-C6【未確認】実APIは未接続。合成応答による確認計画のみ
error-02-C3-finding【問題あり】1POST・3秒timeout・画面文言
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
R1に対応する値を伏せた受付記録/照合可能な識別子の有無、外部の照合API仕様。
記載した対策・再確認は提案であり、修正や再実行はしていません。

秘密情報を除いたエラー記録を用意

ビルド・公開・環境差によるエラーを調べる

調べること: ローカルと公開先の違い、依存関係、成果物の取り違え。
用意するもの: 秘密情報を除いたビルド記録、版・設定の有無、公開対象の識別情報。
得られる結果: 失敗した段階と環境差、修正案、再ビルド・公開後の確認方法。

使い方・指示文・結果の見本

パソコンのCodexで新しいタスクを開き、指示文を貼ってください。続けて対象と調べてよい材料を伝えます。

指示文

架空の入力例

合成のビルド記録です。macOSの作業環境では成功し、LinuxのCIでは `Cannot find module './Header'`。ソースは `import Header from './Header'`、Gitに存在するファイルは `header.tsx`。同じcommitと依存の固定ファイルを使用。他の差は未確認で、ビルドは今回実行しないでください。

結果の見本

合成材料による説明例です。実サイトの診断結果ではありません。

1. 重要な結論と対応順
参照名HeaderとGit上header.tsxの大小文字不一致を先に解消する案です。

2. 全指摘
F1
根拠：同commitのmac成功とLinux失敗記録
原因の確度：不一致自体は確定。Linuxのみ失敗する理由としてファイル名区別が有力仮説、実行での確定は未実施。
応急処置：同じ名前へ参照を揃える案。ロック削除や全環境更新は不要。
恒久対策：importとGitに記録されたファイル名の大小文字を一致させ、関連参照を検索する。既存のLinuxビルドで確認し、既存型検査に相応の不一致検知があれば活用。
影響先：関連importとPC環境の正常ビルド。公開先は変更しない。
別の説明の検討：aliasや作業ディレクトリの差でも同じエラーはあり得る。他の差が不明なので大小文字だけが唯一の原因とは断定しない。
再確認：Git上の正確な名前・全参照を照合、同じcommitと依存固定でLinuxビルド、mac側も必要な対象確認。今回未実行。

3. 全確認項目
提示材料のみを対象とし、実サイトには接続していません。各番号は指示文の分野別項目に対応。部分的に確認できても、項目全体の材料が揃わない行は未確認です。
error-03-C1【未確認】コンパイル時のモジュール解決段階と考えられる。完全ログなし
error-03-C2【未確認】同commit/依存固定と大小文字差。版等は不明
error-03-C3【未確認】Cannot find moduleと該当import/fileが対応
error-03-C4【未確認】配備・公開版・資源URLの資料なし
error-03-C5【未確認】今回ビルド実行は禁止、静的分析のみ
error-03-C6【未確認】変更・再ビルド・公開は実施していない
error-03-C2-finding【問題あり】同commitのmac成功とLinux失敗記録
状態集計：問題あり1、未確認6、確認範囲では問題なし0、対象外0（適用有無も資料不足）。

4. 未確認事項と次の調査
最初の該当エラー前後と設定の非秘密情報。修正実施後はLinux環境の結果。
記載した対策・再確認は提案であり、修正や再実行はしていません。