旧版・別ログイン・テスト画面の露出とは？リスク・見つけ方・対策と診断基準

旧版・別ログイン・テスト画面の露出とは

旧版・別ログイン・テスト画面の露出とは、サイトのリニューアルや機能追加を繰り返すうちに、使われなくなった画面やテスト用の領域が公開領域に残り、外部から閲覧できる状態です。

具体的には、旧トップページ（index2.html 等）、旧ログイン画面（login2.php 等）、テスト用ディレクトリ（/test/）、ステージング環境（/staging/）、バックアップ置き場（/backup/）などです。これらは更新・保守の対象から外れているため、古いライブラリや修正前のプログラムが動き続け、攻撃の入口になりやすい資産です。

セキュリティAIチェッカーのこの項目は、サイト自身が公開しているHTML・robots.txt・sitemap.xml に現れるURLから旧版・テスト画面らしい候補を抽出し、実際に内容を返すかを確認します。総当たりのパス推測は行いません。

旧版やテスト画面はなぜ残り、なぜ危険なのか

旧版・テスト画面が残る理由

• リニューアル時に旧ファイルを削除せず、リンクだけを外す（「未参照ファイル」になる）。
• 開発者が動作確認のために test/ を作り、本番へ一緒に配備する。
• 委託先の交代時に資産の引き継ぎが不十分で、誰も存在を把握していない。
• robots.txt に Disallow: /test/ と書いて検索エンジンから隠したつもりになる。

OWASP WSTG-CONF-04 は、未参照ディレクトリの手がかりとして robots.txt を挙げています。robots.txt は公開ファイルであり、RFC 9309（Robots Exclusion Protocol）も、そのルールはアクセス認可の手段ではないと明記しています。隠したいパスを robots.txt に列挙すると、かえって攻撃者に場所を教えることになります。

旧版が危険な理由

• 旧版のCMS・フレームワーク・JavaScriptライブラリは脆弱性修正が適用されていないことが多い。
• 旧ログイン画面は、現行画面にある総当たり対策・多要素認証・CSRF対策を備えていない場合がある。
• テスト画面は、デバッグ出力、認証の省略、テストデータ（実データの複製を含むことがある）を持つ場合がある。
• 旧版のページが現行と異なるセキュリティヘッダー設定で配信され、保護の抜け穴になる。

関連する診断項目との違い

本診断には、公開ファイル名に .bak・.old・~ を付けた派生名を確認する「旧版・バックアップファイルの露出」もあります。そちらは編集時に残る単一ファイルのバックアップを対象とし、本項目はディレクトリ単位・画面単位で残った旧版やテスト環境を対象とします。両方が △ になる場合は、配備手順そのものに作業ファイルを持ち込む問題がある可能性が高いと考えられます。

CMSの現行の管理画面やインストール画面は「CMSセットアップ／管理入口の露出」で確認します。

旧版・テスト画面についてよくある誤解

• 「リンクしていないから見つからない」：検索エンジンのキャッシュ、Web アーカイブ、robots.txt、sitemap.xml、HTMLコメント、JavaScript内のURLから容易に見つかります。
• 「Basic 認証をかけたから問題ない」：外部から隔離する手段としては有効ですが、不要な資産は削除するのが原則です。

旧版・別ログイン・テスト画面の露出の診断基準（セキュリティAIチェッカー）

候補の抽出

1. トップページと巡回済みの追加ページ（最大2ページ）のHTML本文を連結します。
2. /robots.txt と /sitemap.xml をGETし、取得できた本文を加えます（取得失敗は無視）。
3. 本文中の絶対URLとルート相対パスを抽出し、同一オリジンのURLに正規化します。
4. URLが次のいずれかに一致するものを候補とし、重複を除いて先頭2件を使います（HTML本文、robots.txt、sitemap.xml の順に現れたもの。大文字小文字は区別しません）。ただし拡張子が .css・.js・.png・.jpg／.jpeg・.gif・.svg・.webp・.ico・.woff／.woff2・.pdf の静的ファイルは候補から除きます。

到達確認と判定条件

候補へリダイレクトを追わないGETを送り（追加診断のリクエスト予算40件の範囲内）、次のとおり判定します。

「× 要改善」は出しません。URL名だけでは「本当に旧版・テスト画面か」「意図した公開か」を判断できないためです。重み2のため、△ の場合は1.1点分の減点です。診断結果の根拠欄には、候補のうち200応答だった件数が表示されます。

判定の限界

• サイト自身が言及していないURL（どこからもリンクされていない旧ファイル）は検出しません。網羅的な確認には資産台帳との照合が必要です。
• 存在しないパスでも200を返すソフト404の構成では、候補が実在しなくても △ になることがあります。その場合は、応答内容がトップページやエラーページかを目視で確認してください。
• index2024.html や一覧の2ページ目（index2.html）のように、数字付きでも正規の現行ページである場合があります。/css/index2.css や /img/login1.png のような画像・CSS・JS・PDF等は候補から除外しますが、.xml・.json・.txt など除外対象外の拡張子は候補になります。
• robots.txt・sitemap.xml が180KBを超える場合は先頭180KBだけを読み、それより後ろに書かれたURLは候補になりません。
• 候補の応答が180KBを超える場合は取得失敗として扱い、該当なし（○ 側）になります。
• 確認するのは候補の先頭2件だけです。

自治体サイトでの判定例

△ になった後の進め方

△ になった場合は、次の順で確認すると効率的です。

1. 該当URLをブラウザで開き、現行ページ・旧版・テスト画面・ソフト404のどれかを判別する。
2. 旧版・テスト画面であれば、作成者（担当課・委託先）と作成時期をサーバーのファイル更新日時やアクセスログから特定する。
3. 個人情報や申請データを含むファイルがないかを確認し、含む場合は情報セキュリティ部門に報告する。
4. 削除またはアクセス拒否を行い、再診断で ○ になることを確かめる。

旧版・テスト画面が残っているとどんなリスクがあるか

• 旧ソフトウェアの脆弱性悪用：旧版CMSや古いライブラリの既知脆弱性を突かれ、サーバー上でのコード実行やサイト改ざんに至ります。同じサーバー上の現行サイトにも影響が及びます。
• 認証の迂回：旧ログイン画面が現行と同じ利用者データベースに接続している場合、総当たり対策のない旧画面がパスワード推測の入口になります。
• 個人情報の漏えい：テスト用ディレクトリに、動作確認で使った申請データや住民データの複製、CSVファイルが置かれたままになっていると、URLを知った第三者に取得されます。
• フィッシングへの悪用：放置された旧フォームが改ざんされると、正規ドメイン上の偽フォームとして悪用され、住民が見分けられません。

旧版・別ログイン・テスト画面の対策方法（Apache・nginx・IIS・Next.js）

1. 不要な資産を削除する

• 公開サーバーのドキュメントルートの全ファイル・ディレクトリを一覧化し、資産台帳（現行ページ・システム一覧）と照合します。
• 旧版・テスト・バックアップは公開領域から削除します。保存が必要なものは公開領域外のストレージへ移します。
• robots.txt・sitemap.xml から、存在しないパスや非公開にしたパスの記載を削除します。

2. 残す必要がある場合は公開ドメインから分離する

• ステージング・テスト環境は、別ホスト名（例：stg.example.lg.jp）で接続元IP制限や認証をかけ、本番ドメインの配下に置かない。
• 一時的に残す場合はアクセスを拒否します。

Apache（.htaccess）:

RedirectMatch 404 ^/(old|test|staging|backup)(/|$)

nginx:

location ~ ^/(old|test|staging|backup)(/|$) {
    return 404;
}

IIS（web.config、要求フィルターの隠しセグメント）:

<system.webServer>
  <security>
    <requestFiltering>
      <hiddenSegments>
        <add segment="old" />
        <add segment="test" />
        <add segment="staging" />
        <add segment="backup" />
      </hiddenSegments>
    </requestFiltering>
  </security>
</system.webServer>

hiddenSegments は、パスのどの階層でもその名前のセグメントを含むURLを404にします（例：/kurashi/test/ も対象）。正規のページに同名のディレクトリがないことを確認してから設定します。

Next.js（Vercel）では、pages/test や app/test などの開発用ルートをビルド対象から外すか、Proxy（proxy.ts。Next.js 15以前の Middleware）で本番時に404を返します。

3. 再発防止

• 配備手順を「ビルド成果物だけを転送する」方式にし、作業ディレクトリごとのアップロードをやめる。
• 委託契約・検収項目に「本番環境にテスト・旧版ファイルを残さない」を入れる。
• 年1回以上、公開ファイル一覧と資産台帳の照合を行う。

4. 旧版・テスト画面の確認方法

curl -s https://www.example.lg.jp/robots.txt
curl -s https://www.example.lg.jp/sitemap.xml | grep -Eo '<loc>[^<]+' | grep -Ei 'old|test|staging|backup|index[0-9]|login[0-9]'
for p in old/ test/ staging/ backup/ index2.html login2.php; do
  printf "%s " "$p"; curl -s -o /dev/null -w "%{http_code}\n" "https://www.example.lg.jp/$p"
done

サイトを壊さないための注意点（ガードレール）

• 削除前に、その旧ページへ外部サイトや印刷物・QRコードからリンクされていないかをアクセスログで確認します。利用があるページは、現行ページへ301リダイレクトしてから削除します。
• RedirectMatch のパターンは、/test で始まる正規ページ（例：/testimonials/）を巻き込まないよう、(/|$) で境界を明示します。

よくある質問（FAQ）

参考資料

• OWASP ASVS 5.0.0 V15 Secure Coding and Architecture（V15.2.3）
• OWASP ASVS 5.0.0 V13 Configuration（V13.4.7）
• OWASP WSTG-CONF-04 Review Old Backup and Unreferenced Files for Sensitive Information
• OWASP WSTG-INFO-03 Review Webserver Metafiles for Information Leakage
• RFC 9309 Robots Exclusion Protocol
• Apache HTTP Server mod_alias（RedirectMatch）
• nginx ngx_http_core_module（location）
• Microsoft Learn「Hidden Segments <hiddenSegments>」
• Next.js proxy.js（旧 Middleware）

「旧版・別ログイン・テスト画面の露出」と関連する診断項目

• 旧版・バックアップファイルの露出high
• CMSセットアップ／管理入口の露出medium
• サーバーバージョンを露出していないlow
• 秘密情報らしき文字列がないcritical
• ソースマップ参照を公開していないmedium
• 生成ツール情報を露出していないlow
• 本番HTMLにconsole.logを残していないlow
• 代表的な管理ファイルが公開されていないcritical