# チェックの方法

Lockpickは、誰でもインターネット上で見られるサイトの情報と、公開されたレコードだけを、決められた上限の中で読み取り、見たことだけを報告します。

Lockpickは、部外者や攻撃者がサイトを見つけるのと同じように、外側からサイトを確認します。すべてのチェックは、サイトが公開しているもの、ドメインに関する公開記録だけを読みます。それ以外は読みません。

## 決められた上限の中で

スキャンの種類ごとに、超えてはならない決まった上限があります。

|  | Pulse | Deep |
| --- | --- | --- |
| 簡単に言うと | 部外者やボットがサイトを見るような、手早い外側からの確認 | 攻撃者が本気で調べるような、サイトの丁寧な調査 |
| 確認する内容 | ホームページと、そこで読み込むファイル、メール送信者の設定(SPFとDMARC)、セキュリティヘッダーとTLS、公開DNS、証明書、サブドメインのレコードを、最大10件のリクエストで確認します。 | 最大30ページの閲覧可能なページと20件のスクリプト、公開すべきでないファイル、管理画面、APIがあればそのAPIを確認します。サイトがブラウザでページを組み立てている場合、Deepがどこまで読めたかをレポートに記載します。 |
| 所要時間 | 通常15秒以内 | 2〜8分 |
| 所有の証明が必要 | いいえ。利用を許可されていることの確認だけです | はい。DNSレコード、メタタグ、ファイルのいずれかを追加し、公開したままにします |

* Pulseはサイトへのリクエストを最大 10 回まで送ります。Deepスキャンは最大 200 回までです。
* リクエストの間隔は空けます。サイトの応答が遅くなったり、失敗したり、拒否したりした場合は、スキャンを途中で止めます。
* DNSレコード、証明書ログ、ドメインの登録情報を読んでも、サイトには一切アクセスしません。

## 見たものだけを報告

検出事項は、それを示す証拠とともに報告されたものだけです。レポートには、スキャンの各部分が何を読めたかが書かれています。確認できなかった部分は、合格ではなく「未確認」と示されます。[検出事項の評価の方法](/ja/security/how-we-rate-findings)では、重大度、確定した検出事項に必要な内容、確からしさ、再チェックで何を証明できるかを説明しています。

## まずは、あなたの許可

すべてのスキャンは、サイトを所有しているか、テストしてよいことの確認から始まります。Deepスキャンでは、さらに[所有の証明](/ja/protect/prove-you-own-your-site)と、毎回の承認が必要です。