脆弱性診断の費用相場と無料ツール比較【2026年版】Webサイト・Webアプリのセキュリティ診断を徹底解説

「自社サイトの脆弱性診断を検討しているが、費用がいくらかかるのか相場が分からない」「まずは無料ツールで現状を確認したいが、何を選べばいいのか分からない」——Web担当者からよく聞かれる悩みです。

脆弱性診断（セキュリティ診断）の費用は、診断の種類と規模（リクエスト数・機能数・権限数など）によって15万円から500万円超まで大きく変動します。一方で、HTTPヘッダーの設定状況などは無料ツールでも確認可能です。本記事では、費用相場を種類別・規模別に整理し、無料で使えるツール7選を「何を確認できるか」の観点で比較したうえで、自社に合った診断の選び方を解説します。

なお、診断の具体的なやり方・手順（無料ツールの導入から実行まで）は、別記事「脆弱性診断のやり方｜初心者でも自分でできる5つのステップ」で詳しく解説しています。本記事は「いくらかかるか・どれを選ぶか」に絞ってお伝えします。

脆弱性診断・セキュリティ診断とは？費用を左右する3つの要素

脆弱性診断（セキュリティ診断）とは、Webサイトやサーバーにセキュリティ上の弱点（脆弱性）がないかを専門的に調査するプロセスです。SQLインジェクション・クロスサイトスクリプティング（XSS）といったリスクを攻撃者に悪用される前に発見・修正することを目的とし、費用は0円で使える無料ツールから、500万円を超える本格的な診断まで幅があります。費用を比較検討するうえで、まず「何が価格を左右するのか」を押さえておきましょう。

脆弱性診断の費用は、主に次の3つの要素で決まります。

「脆弱性診断」と「ペネトレーションテスト」の違い（費用の差）

費用を比較する前提として、よく混同される2つの手法の違いを押さえておきましょう。脆弱性診断は弱点を網羅的に洗い出す「健康診断」（費用目安15万〜200万円）、ペネトレーションテストは実際に侵入を試みる「模擬試合」（費用目安150万〜500万円）です。一般には脆弱性診断で全体像を把握してから、重要システムにペネトレーションテストを実施するため、後者のほうが高額になります。

脆弱性診断の費用相場【種類別一覧表】

脆弱性診断の費用相場を、サービス種別ごとに整理しました。無料ツールによる自己診断（0円）から、フルペネトレーションテスト（500万円超）まで、自社の規模・扱う情報の機微性に応じて選択します。公開情報や利用規約を確認したうえで無料サービスを初期確認に活用し、その結果や扱う情報の重要性に応じて有料診断を検討する方法があります。ただし、決済情報や重要な個人情報を扱うシステムでは、無料サービスの結果にかかわらず、専門会社への相談が適切な場合があります。

どの種類で何が検出できるか（OWASP Top 10の観点）

脆弱性診断では、Webアプリの代表的なリスク（OWASP Top 10）として知られるアクセス制御の不備・インジェクション（SQLインジェクション・XSS）・認証の不備などを検出します。ただし、種類によって検出できる範囲が異なります。簡易診断（ツールベース）は既知パターンの検出が中心で、認証・認可ロジックの欠陥やビジネスロジックの不備は、手動診断を含む標準診断以上でなければ発見が困難です。費用が高い診断ほど「人の目」による深い検証が含まれる、と理解すると選びやすくなります。

Webアプリ診断の費用は「リクエスト数・機能数・権限数」で変わる

手動を含むWebアプリ診断の見積もりは、診断対象の規模を示す複数の指標を基準に算出されるのが一般的です。診断会社によっては画面数ではなく、HTTPリクエスト数、入力パラメータ数、API数、ユーザー権限数などを基準に見積もります。画面数は費用を把握するための目安の一つですが、各社で数え方が異なるため、複数社に見積もりを依頼する際は同じ基準で比較することが重要です。

費用を抑えたい場合は、全機能ではなく「リスクの高い機能」に絞って診断するのが有効です。ログイン・会員登録・決済・問い合わせフォームなど、ユーザーの入力を受け付ける機能を優先的に診断対象にすると、限られた予算で重要なリスクを押さえられます。

無料でWebサイトのセキュリティ状態を確認できるツール7選【比較表】

有料診断を検討する前に、無料サービスで現状を把握するのが費用対効果の高い第一歩です。無料サービスごとに確認できる対象は異なり、HTTPヘッダー、SSL・TLS設定、既知の悪性判定、ブロックリスト登録状況などを個別に確認できます。ただし、これらはWebアプリケーション全体を網羅的に診断するものではありません。ここでは代表的な7つのサービスを、その確認範囲で比較します。何が確認できないかを理解しておくことが、有料診断の必要性を正しく判断する鍵になります。

※VirusTotalのWeb版基本機能は主に非商用利用で無料です。送信したURLやファイルの情報がセキュリティコミュニティ等と共有される場合があるため、機密情報の送信には注意してください。Security Headersのブラウザからの基本スキャンは無料ですが、API利用は別途有料です。

比較表からわかるとおり、本記事で紹介する無料サービスは、HTTPヘッダー・SSL/TLS設定・既知の悪性判定・ブロックリスト登録状況といった「外形的・構成的な観点」の確認に強みがあります。一方、OWASP ZAPなど動的な脆弱性を検査できる無料ツールもありますが、認証・認可ロジックや独自のビジネスロジックまで含めた網羅的な評価には、手動診断や専門ソリューションが必要です。

なお、使用しているCMSやミドルウェアの既知の脆弱性を調べたい場合は、上記のスキャン系サービスとは別に「JVN（Japan Vulnerability Notes）」の活用も有効です。JVNは、IPAとJPCERT/CCが共同運営する脆弱性情報ポータルです。自社で使用しているCMS、ミドルウェア、ソフトウェアの製品名やバージョンが分かっている場合に、公開済みの脆弱性や対策情報を検索できます。URLを入力してWebサイトを自動診断するサービスではなく、製品名・バージョンから脆弱性情報を検索するデータベースである点に注意してください。

なお、これらの無料ツールを実際に使う手順（OWASP ZAPの導入・スキャン実行を含む）は、別記事「脆弱性診断のやり方｜初心者でも自分でできる5つのステップ」で具体的に解説しています。本記事では「どのツールで何が分かるか」の比較に絞っています。

有料の脆弱性診断サービスを選ぶ5つのポイント

無料ツールでの初期確認を終え、有料診断が必要と判断した場合、同じ「費用」でも診断の中身は会社によって大きく異なります。価格だけで選ぶと、手動診断がほとんど含まれない簡易スキャンに高額を払うことにもなりかねません。以下の5ポイントで、費用に見合う品質かを見極めましょう。

正確な費用を把握するには、複数の診断会社に同条件で見積もりを依頼し、診断範囲と総額をそろえて比較することが重要です。診断の頻度は、扱う情報、システム変更の頻度、契約上の要件、適用される法令や業界基準によって異なります。年1回を目安とする企業もありますが、大規模な機能追加や構成変更の後にも再診断が推奨されます。PCI DSSなどが適用される場合は、同基準で定められた診断・スキャン頻度に従う必要があります。

自社に合った診断の選び方：3ステップで選定する

ここまでの費用相場・無料ツール比較・選定ポイントを踏まえ、自社に最適な診断を3ステップで選定する流れを示します。無料サービスを初期確認に活用しつつ、扱う情報の重要性やシステムの複雑さに応じて診断レベルを決めることが、費用を最適化する基本方針です。決済情報や重要な個人情報を扱うシステムでは、初期段階から専門会社へ相談する方法も検討してください。

無料ツールによる手順（STEP 1の具体的な進め方）を詳しく知りたい方は、「脆弱性診断のやり方｜初心者でも自分でできる5つのステップ」を参照してください。

診断で脆弱性が見つかったら？次にやるべき3つのステップ

セキュリティ診断は、脆弱性を発見して終わりではありません。むしろ、そこからがスタートです。診断結果をもとに、適切な対策を計画的かつ迅速に実施することが、サイトの安全性を確保するうえで最も重要になります。もし診断で脆弱性が発見されても、慌てる必要はありません。ここでは、診断後に取るべき具体的なアクションを3つのステップに分けて解説します。

ステップ1：診断レポートを読み解きリスクを評価する

診断会社から提出されるレポートには、専門的な内容が多く含まれます。まずは内容を正しく理解し、発見された脆弱性が自社にとってどれほど危険なのかを評価することが第一歩です。注目すべきは「深刻度」や「CVSSスコア」といった項目です。CVSS（共通脆弱性評価システム）は、脆弱性の深刻度を0.0から10.0の数値で示した世界共通の指標で、スコアが高いほど危険性が高いことを意味します。

このように、脆弱性の内容と深刻度を把握し、万が一攻撃された場合にビジネスにどのような影響が出るのか（例：顧客情報漏洩、サービス停止）を具体的に想定することが重要です。

ステップ2：対策の優先順位付けと具体的な修正方法

発見された脆弱性すべてに一度に対応するのは、コストやリソースの面で現実的ではない場合がほとんどです。そのため、どの脆弱性から対策すべきか、優先順位を付ける必要があります。優先順位は、一般的に「リスクの高さ（深刻度と攻撃された場合の影響の大きさを掛け合わせて評価）」と「対策の容易さ（修正にかかる工数やコスト）」の2つの軸で判断します。例えば、深刻度が「緊急」のSQLインジェクションは、対策の難易度に関わらず最優先で対応すべきです。一方、深刻度が「低」で対策に大規模な改修が必要な場合は、他の高リスクな脆弱性の対応を終えてから着手するなど、計画的な対応が求められます。具体的な修正方法は、診断レポートに記載されている提案を参考に、開発担当者や開発会社と相談しながら進めていきましょう。

ステップ3：修正を実施し、再診断で効果を確認する

修正を実施したら、それで終わりではありません。修正が正しく適用され、脆弱性が実際に解消されたかを再診断で確認することが重要です。修正作業によって別の不具合や新たな脆弱性が生まれていないかも合わせて確認しましょう。再診断は、STEP 1で紹介した無料ツールでの簡易確認から、診断会社による有償の再診断（多くの場合、初回診断より低価格で提供されています）まで、脆弱性の深刻度や修正内容に応じて選択します。個人情報や決済情報を扱うシステムでは、専門会社による再診断が推奨されます。

【独自情報】見落としがちな「クライアントサイド」の脅威と対策

これまでのセキュリティ対策は、自社のサーバーを守る「サーバーサイド」が中心でした。しかし、現代のWebサイトは、広告や分析ツールなど、様々な外部のJavaScriptプログラムをユーザーのブラウザ（クライアントサイド）で実行することで成り立っています。

実は、この「クライアントサイド」に新たなセキュリティリスクが潜んでいることをご存知でしょうか。一般的なWebアプリケーション診断ではXSSなどクライアント側に影響する脆弱性も対象になりますが、診断は特定の時点のアプリケーションや設定を確認するものであり、運用中に第三者タグや外部JavaScriptの配信内容が変化し続けるリスクを継続的に監視するものではありません。見落としがちなこの脅威と、その対策について解説します。

WAFだけでは防ぎにくく、CSPでも設定によっては防ぎきれないクライアントサイドリスク

WAF（Web Application Firewall）は主にサーバーへ送信される不正なリクエストを検知・遮断するもので、ユーザーのブラウザ上で実行されるJavaScriptの挙動を直接監視するものではありません。

CSP（Content Security Policy）は、読み込み可能なスクリプトの配信元や外部への通信先を制限できる有効な対策です。SRI（Subresource Integrity）などと組み合わせることで、外部JavaScriptの改ざん対策にも利用できます。ただし、許可済みの配信元から悪意あるコードが配信された場合や、CSPの許可範囲が広い場合には、防ぎきれないことがあります。また、許可されたJavaScriptがブラウザ上でどのデータにアクセスし、どこへ送信したかを継続的に可視化する用途には限界があります。正規の広告配信サービスや分析タグが配信網のどこかで改ざんされ、ユーザーの入力情報を盗み出すコードにすり替わる「サプライチェーン攻撃」はこの限界に該当します。

実際に、ECサイトや決済ページへ不正なJavaScriptを挿入し、利用者が入力したカード情報を外部へ送信するWebスキミング攻撃が国内外で確認されています。このような攻撃はユーザーからも企業側からも気付かれにくく、被害が拡大しやすいという特徴があります。

Spider AF SiteScanによるクライアントサイド監視

こうしたクライアントサイドのリスクに対し、Spider AFは「SiteScan」を提供しています。SiteScanはサイト上で実行されるタグやJavaScriptを継続的に監視し、不審なデータアクセスや外部通信などのリスクを検知・可視化します。これにより、情報漏洩につながり得る挙動の早期発見と対応を支援します。

【関連記事】JavaScript改ざん対策の決定版｜手口から防御・検知まで網羅解説

まとめ：費用相場を押さえ、無料ツールから段階的に進める

本記事では、脆弱性診断の費用相場と無料ツール比較を中心に解説しました。最後にポイントを整理します。

• 費用は「種類」と「規模」で決まる：簡易診断15万〜50万円、標準Webアプリ診断50万〜200万円、フルペネトレーションテスト150万〜500万円が目安。リクエスト数・機能数・権限数など規模の指標に応じて増える（金額はいずれも参考値）
• 無料ツール7選＋JVNは確認範囲で使い分ける：HTTP Observatory・Qualys SSL Labs SSL Server Test・VirusTotal・ImmuniWeb・Security Headers・Google Safe Browsing・Spider AF SiteScanは外形的な観点に強いが、アプリ層・認証ロジック・ビジネスロジックの欠陥は確認できない。JVNは自動診断ではなく既知脆弱性の検索データベース
• 有料診断は総額と手動の割合で比較する：価格だけでなく、手動診断・ビジネスロジック診断が含まれるかを確認する5ポイントで選定
• 段階的に進めるのが費用最適：無料サービスによる初期確認 → 対象を絞る → 診断レベルを決める、の3ステップで進める
• 脆弱性が見つかったら、評価・優先順位付け・再診断の3ステップで対応する：診断はゴールではなくスタート。修正後の再診断まで行って初めて対策が完了する
• 見落としがちなクライアントサイドのリスクに注意：ブラウザ上の第三者スクリプト改ざんはSpider AF SiteScanで継続的に監視・可視化できる

無料サービスを初期確認に活用しつつ、扱う情報の重要性やシステムの複雑さに応じて適切な診断を選びましょう。具体的な診断手順は「脆弱性診断のやり方｜初心者でも自分でできる5つのステップ」を、クライアントサイドの対策はSpider AF SiteScanをご確認ください。

よくある質問（FAQ）

Q1. 脆弱性診断の費用相場はいくらですか？

脆弱性診断の費用は診断の種類によって大きく異なります。ツールベースの簡易診断は15万〜50万円、手動診断を含む標準的なWebアプリ診断は50万〜200万円、フルペネトレーションテストは150万〜500万円が目安です（各社の公開価格・見積もり例をもとにした参考値で、対象の規模や条件により変動します）。継続監視型のSaaSスキャナーは月額3万〜30万円程度です。無料ツールは0円で使え、初期確認の選択肢の一つになります。

Q2. Webアプリの脆弱性診断費用はどう決まりますか？

手動を含むWebアプリ診断の費用は、診断対象の規模で決まります。診断会社によっては画面数ではなく、HTTPリクエスト数・入力パラメータ数・API数・ユーザー権限数などを基準に見積もる場合もあり、各社で数え方が異なります。目安としては、小規模なサイトで数十万円、機能数の多いECサイトやSaaSでは100万円を超えることもあります。診断の深さ（手動の割合）・対象機能の複雑さ・再診断の有無によっても変動するため、正確な費用は複数社への見積もり依頼で比較することをおすすめします。

Q3. 無料のセキュリティ確認ツールだけで十分ですか？

小規模な情報発信サイトや初期確認には無料ツールで十分な場合があります。HTTP Observatory・Qualys SSL Labs SSL Server Test・VirusTotal・ImmuniWebなどで、HTTPヘッダーやSSL/TLS設定、既知の悪性判定を無料で確認できます。ただし、本記事で紹介する無料サービスは、主にHTTPヘッダーやSSL/TLS設定、既知の悪性判定などを確認するもので、Webアプリケーション全体を網羅的に診断するものではありません。OWASP ZAPなど、動的な脆弱性を検査できる無料ツールもありますが、設定や診断結果の判断には専門知識が必要であり、手動診断やビジネスロジックの確認を完全に代替するものではありません。診断の頻度は扱う情報やシステム変更の頻度、契約上の要件、適用される法令・業界基準によって異なり、PCI DSSなど適用される基準がある場合はその基準で定められた頻度に従う必要があります。公開されている無料ツールを使う場合は、利用規約を確認し、自社が管理していないサイトや診断許可を得ていないシステムをスキャンしないよう注意してください。

Q4. 無料ツールで「確認できないこと」は何ですか？

本記事で紹介する7つの無料サービスは、主にSSL/TLS設定・HTTPヘッダー・既知の悪性判定・ブロックリスト登録状況といった「外形的・構成的な観点」を確認するものです（SiteScanのみクライアントサイドのタグ・JavaScriptの挙動を一度スキャンします）。OWASP ZAPなど、動的な脆弱性を検査できる無料ツールもありますが、認証・認可ロジックの欠陥、独自実装のビジネスロジック上の問題、第三者スクリプトの継続的な挙動などを十分に確認するには、手動診断や専門ソリューションが必要です。

Q5. 脆弱性診断のやり方を自分で知りたいのですが？

本記事は費用相場・無料ツール比較・選び方を扱っています。OWASP ZAPなどの無料ツールを使った具体的な診断手順を知りたい方は、別記事「脆弱性診断のやり方｜初心者でも自分でできる5つのステップ」で、ツールの導入から実行までの手順を解説しています。まず手順を把握したうえで、本記事で自社に合った診断レベルと費用を検討するのがおすすめです。