Research
日本の外部公開面
インターネットから誰でも確認できる情報をもとに、日本企業の外部公開面を毎月観測しています。個別の企業名やドメインは公開せず、日本全体や業種・規模ごとの傾向を示します。
- 観測月
- 2026年9月
- 観測した会社
- 44,374社
- 最終更新
- 2026-09-29
- メールのなりすまし対策
母数: DNS を引けて、メールの受け口（MX）がある会社 40,503社
- DMARC で隔離・拒否まで設定している8.9%
- DMARC を設定している（隔離・拒否はしない）41.4%
- SPF だけを設定している45.4%
- SPF・DMARC とも見当たらない4.3%
- Webサイトの作成ソフト（CMS）
母数: トップページを取得できた会社 37,874社
- CMS が分からない69.9%
- WordPress 以外の CMS・サイト作成サービスと分かる5.4%
- WordPress と分かる（バージョンは読めない）7.8%
- WordPress のバージョンが外から読める13.8%
- WordPress 公式が「insecure」とするバージョンを使っている3.1%
- Webサイトの証明書
母数: 443 番ポートで証明書を取得できた会社 41,315社
- 有効94.5%
- 期限が切れている0.4%
- 名前が合わない（掲載 URL が https）0.3%
- 名前が合わない（掲載 URL が http など）4.8%
なぜ外部公開面を見るのか
攻撃者は、インターネットから確認できる情報を使って、攻撃対象や攻撃方法を探ります。メール認証、Webサイトのソフトウェア、証明書などの基礎的な状態も、その判断材料になり得ます。
また、サプライチェーンセキュリティでは、自社だけでなく取引先を含めた対策が重要です。企業規模にかかわらず、自社の外部公開面がどう見えているかを把握することが、サイバーセキュリティ対策の第一歩になります。
条件
全国この条件の会社数: 44,374社
メールのなりすまし対策
取引先や自社を名乗る偽のメールは、詐欺や不正送金、ウイルス感染の入口として使われます。送信元を申告する SPF と、なりすましと判定したメールの扱いを決める DMARC を隔離・拒否まで設定すると、自社のドメインを名乗る偽のメールが相手に届きにくくなります。ここでは、その設定をどこまで進めているかを示します。
母数: DNS を引けて、メールの受け口（MX）がある会社
- DMARC で隔離・拒否まで設定している
- DMARC を設定している（隔離・拒否はしない）
- SPF だけを設定している
- SPF・DMARC とも見当たらない
業種ごと（いちばん上は全国）
数字の根拠
全国母数: 40,503社
| 区分 | 割合 | 社数 | 前月差 |
|---|---|---|---|
| DMARC で隔離・拒否まで設定している | 8.9% | 3,613 | +0.2 pt |
| DMARC を設定している（隔離・拒否はしない） | 41.4% | 16,763 | +0.3 pt |
| SPF だけを設定している | 45.4% | 18,403 | -0.4 pt |
| SPF・DMARC とも見当たらない | 4.3% | 1,724 | -0.1 pt |
- ※ DMARC の 2 つの区分には、SPF を設定していない会社も含みます。
Webサイトの作成ソフト（CMS）
Webサイトの作成ソフト（CMS）を、弱点の見つかった古いバージョンのまま使い続けると、公開されている手口で改ざんや乗っ取りを受けるおそれがあります。外から種類やバージョンが読めると、弱点のあるバージョンを使っているサイトが見分けやすくなります。ここでは、トップページから使っている CMS が分かるか、WordPress ならバージョンまで読めるか、WordPress 公式が「insecure」とするバージョンかを示します。
母数: トップページを取得できた会社
- CMS が分からない
- WordPress 以外の CMS・サイト作成サービスと分かる
- WordPress と分かる（バージョンは読めない）
- WordPress のバージョンが外から読める
- WordPress 公式が「insecure」とするバージョンを使っている
業種ごと（いちばん上は全国）
数字の根拠
全国母数: 37,874社
| 区分 | 割合 | 社数 | 前月差 |
|---|---|---|---|
| CMS が分からない | 69.9% | 26,461 | -0.6 pt |
| WordPress 以外の CMS・サイト作成サービスと分かる | 5.4% | 2,038 | +0.1 pt |
| WordPress と分かる（バージョンは読めない） | 7.8% | 2,961 | +0.2 pt |
| WordPress のバージョンが外から読める | 13.8% | 5,221 | +0.2 pt |
| WordPress 公式が「insecure」とするバージョンを使っている | 3.1% | 1,193 | 0 pt |
- ※ 「CMS が分からない」には、CMS を名乗らないサイトや手作りのサイトのほか、外から見分けられないように隠している WordPress も含みます。
- ※ 「WordPress 以外の CMS・サイト作成サービスと分かる」は、ページの generator 表示に CMS やサイト作成サービスの名前が出ている会社です。
Webサイトの証明書
Webサイトの証明書（HTTPS で使う TLS 証明書）は、訪問者が本物のサイトと暗号化した通信でつながっていることを確かめるためのものです。期限が切れていたり名前が合わなかったりするとブラウザが警告を出し、訪問者が警告を読み飛ばすことに慣れると、偽のサイトや通信の盗み見に気づきにくくなります。ここでは、証明書が有効か、期限切れか、サイトの名前と合っているかを示します。
母数: 443 番ポートで証明書を取得できた会社
- 有効
- 期限が切れている
- 名前が合わない（掲載 URL が https）
- 名前が合わない（掲載 URL が http など）
業種ごと（いちばん上は全国）
数字の根拠
全国母数: 41,315社
| 区分 | 割合 | 社数 | 前月差 |
|---|---|---|---|
| 有効 | 94.5% | 39,063 | +0.1 pt |
| 期限が切れている | 0.4% | 155 | 0 pt |
| 名前が合わない（掲載 URL が https） | 0.3% | 106 | 0 pt |
| 名前が合わない（掲載 URL が http など） | 4.8% | 1,991 | -0.1 pt |
- ※ 「名前が合わない（掲載 URL が http など）」は、HTTPS を設定していないとみられる会社です。
調査方法
調査対象は、厚生労働省の職場情報総合サイト「しょくばらぼ」に掲載されている企業です。対象企業と業種・従業員規模・都道府県は、同サイトのデータを加工して作成しています。
観測は、インターネットから誰でも確認できる範囲に限っています。DNSの記録、企業サイトのトップページ、Webサイトの証明書を確認し、侵入や負荷をかける検査は行っていません。
メールのなりすまし対策、Webサイトの作成ソフト（CMS）、証明書は、それぞれ確認できた企業を母数として集計しています。詳しい区分の定義は各項目に記載しています。
ISMS取得企業との比較には、ISMS認証登録の一覧と社名・都道府県で照合できた企業だけを使用しています。照合できなかった企業を「ISMS未取得」とは扱っていません。