sitemapに非公開ページを含めていないか？ステージング・テスト・管理URLの混入対策と診断基準

sitemapに非公開ページを含めていないとは

sitemapに非公開ページを含めていないとは、XMLサイトマップ（/sitemap.xml）に掲載したURLに、テスト用ページ、ステージング環境のURL、管理画面、公開前・非公開のページが含まれていない状態のことです。

XMLサイトマップは、検索エンジンにサイト内のページ一覧を伝えるためのファイルです。CMSの多くは公開ページから自動生成しますが、設定や運用の誤りにより、非公開のはずのURLが含まれてしまうことがあります。

サイトマップは誰でも取得でき、OWASP WSTGでもサイト構造を効率よく把握するための偵察対象として挙げられています。非公開のつもりのURLが載っていれば、そのまま攻撃者や第三者に「入口一覧」を渡すことになります。

この項目は、/sitemap.xml に掲載されたURL（<loc> 要素）に、テスト・開発・管理・非公開を示す語が含まれていないかを確認します。robots.txtに管理画面などのパスを書いてしまう問題は「robots.txtに機密パスを列挙していない」で別に確認します。

サイトマップの仕様と非公開ページが紛れ込む原因

サイトマップの仕様の要点（Sitemaps XML format 0.9）

• ルート要素 <urlset> の中に <url> を並べ、それぞれに必須の <loc>（完全なURL）を書きます。<lastmod> 等は任意です。
• 1ファイルあたり50,000URL・非圧縮50MBまで。超える場合はサイトマップインデックス（<sitemapindex>）で複数ファイルに分けます。gzip圧縮も使えます。
• サイトマップを置いたディレクトリより上位のURLや、別のホスト・プロトコルのURLは含められません。
• robots.txtに Sitemap: https://... と書いて場所を知らせることができます。
• Googleは「検索結果に表示させたいURL」を、重複のない正規URLで掲載するよう案内しています。

<?xml version="1.0" encoding="UTF-8"?>
<urlset xmlns="http://www.sitemaps.org/schemas/sitemap/0.9">
  <url>
    <loc>https://www.city.example.lg.jp/kurashi/gomi/index.html</loc>
    <lastmod>2026-09-30</lastmod>
  </url>
</urlset>

非公開ページが紛れ込む典型例

サイトマップについてよくある誤解

• 「サイトマップに載せなければ見つからない」：サイトマップから外しても、リンクやURL推測で見つかります。非公開にすべきページは認証・削除で保護します。
• 「noindexにすればサイトマップに載っていても問題ない」：検索結果からは外れても、サイトマップ自体は誰でも読めるため、URLの存在は露出します。

sitemapに非公開ページを含めていないの診断基準（セキュリティAIチェッカー）

取得方法

• 診断の最終URLのオリジンに対し /sitemap.xml をGETします（リダイレクトは追跡しない、タイムアウト4秒、最大100,000バイト。上限を超える大きなサイトマップは先頭部分で打ち切り、その範囲に含まれる完全な <loc> を評価）。
• 本文から <loc>…</loc> の値（URL）を抽出します。CDATA形式（<loc><![CDATA[…]]></loc>）で書かれたURLも読み取ります。

判定条件

各URLから https:// 等のスキームを除いた文字列（ホスト名＋パス）について、次の語が区切り文字で区切られた独立した語（直前が /、.、-、_ または文字列の先頭、直後が /、.、-、_、?、# または文字列の末尾）として現れるかを確認します（大小文字を区別しない）。

staging / stg / test / dev / admin / private

latest（testを含む）、device（devを含む）、administration（adminを含む）のような、語の一部として含まれるだけのものは一致させません。

× 要改善（fail）はありません。語が含まれていても正当な公開ページである場合（例: 試験・検定の案内ページを /test/ に置いている）があるため、「要確認」の △ としています。

判定の限界

• /sitemap.xml 1ファイルだけを確認します。サイトマップインデックスの場合、その中の子サイトマップのURL（<loc>）は評価しますが、子サイトマップの中身までは取得しません。
• robots.txtの Sitemap: で別の場所を指定している場合や、sitemap.xml.gz のみの場合は確認できません。
• 日本語ローマ字（kanri、shiken 等）や製品固有のパスは対象外です。

自治体サイトでの判定例

sitemapに非公開ページが含まれているとどんなリスクがあるか

• 未公開情報の漏えい：公開日前の報道発表、入札情報、選挙関連資料などが公開状態で作成されサイトマップに載ると、予定より早く閲覧されるおそれがあります。
• ステージング環境への到達：テスト環境は本番より保護が弱いことが多く、既知の脆弱性や初期パスワード、テスト用の個人情報が残っている場合があります。
• 管理画面の露出：管理画面のURLが分かると、パスワード総当たりや脆弱性探索の対象になります。
• 信頼性の低下：検索結果にテストページが表示されると、住民に誤った情報が伝わるおそれがあります。

サイトマップから非公開ページを除く方法（CMS・Next.js・Apache・nginx）

1. 該当URLの扱いを決める

• 不要なページは削除し、サイトマップからも外す。
• テスト環境は本番から到達できない場所に移すか、認証・IP制限をかける。
• 公開前ページは、CMSの「非公開」「公開予約」機能を使い、公開状態で作らない。

2. サイトマップの生成設定を見直す

• CMSのサイトマップ機能で、除外するディレクトリ・ページ種別を設定する（WordPressなら標準のサイトマップやSEOプラグインの除外設定）。
• 自前で生成している場合は、公開フラグが立ったページだけを出力する。

Next.js（App Router）の例:

// app/sitemap.ts
import type { MetadataRoute } from "next";
import { getPublishedPages } from "@/lib/pages";

export default async function sitemap(): Promise<MetadataRoute.Sitemap> {
  const pages = await getPublishedPages(); // 公開済みのみ
  return pages
    .filter((p) => !/^\/(?:test|admin|private)(?:\/|$)/.test(p.path))
    .map((p) => ({ url: `https://www.city.example.lg.jp${p.path}`, lastModified: p.updatedAt }));
}

3. ステージング環境を保護する

Apache（ステージング側の .htaccess）:

AuthType Basic
AuthName "Staging"
AuthUserFile /etc/apache2/.htpasswd-staging
Require valid-user
Header set X-Robots-Tag "noindex, nofollow"

nginx:

server {
    server_name stg.city.example.lg.jp;
    auth_basic "Staging";
    auth_basic_user_file /etc/nginx/.htpasswd-staging;
    add_header X-Robots-Tag "noindex, nofollow" always;
}

IIS：ステージングサイトで匿名認証を無効にし、Windows認証またはIP制限を設定します。Vercelでは、プレビューデプロイに Deployment Protection（パスワードやVercel認証）を設定できます。

4. 大規模サイト・サイトマップインデックスの点検

自治体の公式サイトはページ数が多く、サイトマップインデックスで複数ファイルに分かれていることがよくあります。セキュリティAIチェッカーは先頭のファイルしか見ないため、定期点検では子サイトマップも含めて全URLを確認します。

# インデックスから子サイトマップを列挙し、全<loc>を1ファイルにまとめる
curl -s https://www.city.example.lg.jp/sitemap.xml | grep -oE '<loc>[^<]+</loc>' | sed -E 's#</?loc>##g' > index.txt
while read -r u; do curl -s "$u" | grep -oE '<loc>[^<]+</loc>'; done < index.txt > all-locs.txt
wc -l all-locs.txt

点検の観点は、ホスト名（本番以外のホスト名が混じっていないか）、パス（テスト・管理用の語）、公開日（公開予定前のページが載っていないか）の3点です。

5. 確認方法

curl -s https://www.city.example.lg.jp/sitemap.xml \
  | grep -oE '<loc>[^<]+</loc>' \
  | grep -iE '([/._-]|//)(staging|stg|test|dev|admin|private)([/._?#-]|</loc>)'

一致したURLを1件ずつ開き、公開してよいページかを確認します。<loc> をCDATA形式で出力しているサイトマップでは、grep -oE の部分を <loc>.*</loc> に置き換えて確認します。対処後はセキュリティAIチェッカーで再診断し、根拠欄に該当URLが残っていないことを確かめます。

検索流入を失わないための注意点（ガードレール）

• サイトマップからURLを外すだけでは保護になりません。削除・認証を先に行います。
• 生成ルールを変更したら、主要な公開ページが引き続き掲載されていることを確認します（誤って全ページを除外すると検索流入が減ります）。
• テスト環境に認証をかける際は、本番と同じ証明書・ドメイン設定を流用して本番を止めないよう、対象ホスト名を確認してから適用します。

よくある質問（FAQ）

参考資料

• sitemaps.org Sitemaps XML format
• Google 検索セントラル サイトマップの作成と送信
• OWASP WSTG-INFO-03 Review Webserver Metafiles for Information Leakage
• OWASP ASVS 5.0.0 V13 Configuration
• RFC 9309 Robots Exclusion Protocol（Sitemap行の扱いを含む）

「sitemapに非公開ページを含めていない」と関連する診断項目

• robots.txtに機密パスを列挙していないmedium
• 代表的な管理ファイルが公開されていないcritical
• サーバーバージョンを露出していないlow
• 秘密情報らしき文字列がないcritical
• ソースマップ参照を公開していないmedium
• 生成ツール情報を露出していないlow
• 本番HTMLにconsole.logを残していないlow
• security.txtを公開low