世界500万サイトのセキュリティ実態調査・最終報告｜Tranco上位100万とCommon Crawl 395万で見たウェブ全体の対策水準

• 世界のウェブサイト 500 万件を同じ方法で観測する計画の最終報告。第 1 期（Tranco 上位 100 万ほか 1,057,185 件）と第 2 期（Common Crawl のドメインランクから 3,949,993 件）の観測を 2026-10-29 03:38 に終えた。本稿の比較は、第 1 期のうち Tranco 由来の 911,485 件と第 2 期の 3,949,993 件、合わせて 4,861,478 件で行う。
• 到達率（DNS が引けて HTTP 応答があった割合）は第 2 期 79.6%（第 1 期 85.3%）。DNS 未解決は 14.4% で、ランキング上の名前の約 1 割はすでに消えている。
• 合算 4,861,478 件の応答サイト 3,922,585 件で見ると、HTTPS 強制 95.1%、HSTS 29.3%、CSP 16.6%、X-Frame-Options 26.3%、版の非表示 73.8%、WAF/CDN 前段 38.7%。HTTPS 化はほぼ行き渡った一方、サイト側で意図して設定する対策は HSTS で 3 割、CSP で 2 割弱にとどまる。
• Tranco 上位 100 万と Common Crawl 395 万の差は、HSTS -7.3 ポイント、CSP -11.6 ポイント、X-Frame-Options -19.8 ポイント、WAF/CDN 前段 -15.3 ポイント。途中報告（100 万件時点）で見えた「設定が要る対策ほど母集団を広げると下がる」傾向は、395 万件でも変わらなかった。
• WordPress と判定できたサイトは第 2 期で応答サイトの 25.4%（第 1 期 13.4%）。PHP の版を名乗るサイトは第 2 期 9.9%、うちサポート終了版は 44.6%。公開 CVE の範囲内の版を名乗るサイトは応答サイトの 9.8%（第 1 期 10.6%、上限値）。
• 途中報告で宿題にした「Common Crawl 60〜100 万位の帯だけ到達率・HSTS が低い」件は、失敗の内訳と観測時刻から切り分けた。DNS 未解決は順位が下がるほど増え、160〜180 万位には消滅済みドメインの塊があり、後日別の DNS で引き直しても解決しない（本物の消失）。接続失敗・TLS エラーは観測時間帯に偏りがあったため、該当する 255,894 件を最終集計前に再観測した（第 3 節）。

この記事は 筆者ブログ nkzw.jp 版 にも掲載しています。途中経過は 途中報告（100 万件時点） を参照。

この調査と最終報告の位置づけ

本調査は、世界のウェブサイト 500 万件について、HTTPS・HSTS・セキュリティヘッダー・TLS・証明書・サーバー製品の版露出・PHP のサポート状況を、同じ方法・同じ時期に観測するものである。先行する「セキュリティ露出統計調査 2026」（10 リージョン 26 万サイト）を世界規模に広げる位置づけで、母集団は 2 段階で組んだ。

1. 第 1 期: Tranco 上位 100 万（911,485 件、139 か国＋gTLD）。観測は 2026-10-22〜2026-10-28。第 1 期には先行調査から引き継いだ 145,700 件（検索履歴・Majestic 由来の日本のサイトなど）も含まれるが、母集団の性質が違うため本稿の比較からは外す。
2. 第 2 期: Common Crawl のドメインランクから、第 1 期に含まれない登録ドメインを上位順に 3,949,993 件（順位 398〜4,322,835 位）。観測は 2026-10-27 21:24〜2026-10-29 03:38。

途中報告（2026-10-28）は第 2 期の先頭 1,002,874 件（順位 1,256,831 位まで）を観測した時点の集計だった。本稿はその範囲を「途中報告の範囲」として残し、全件との差も示す（第 5 節）。ICANN の CZDS（ゾーンファイル）は申請中のまま承認が届いていないため、本稿には含めない。承認後に観測した場合は第 3 期として別枠で報告する。

調べ方

観測は、各サイトに対して DNS 照会、TLS ハンドシェイク 1 回、HTTP GET 1 回を行うだけで、ブラウザでそのサイトを 1 回開くのと同じである。ポートスキャン、脆弱性の探索、認証の試行、攻撃コードの送信は行っていない。観測元は国内の複数回線に分散したワーカーで、1 台の集約サーバーが待ち行列を配り、結果を追記専用のテーブルに集める。

• 母集団の重複排除: 同じホストを複数回観測した場合は、DNS 失敗以外の最新 1 行を採り、無ければ最新 1 行を採る。
• Common Crawl のランク: cc-main-2026-jul-aug-sep のドメインレベル・ウェブグラフのハーモニック中心性順位。Tranco が複数の人気ランキングを合成した「人気順」であるのに対し、Common Crawl の順位は「クロールで到達したリンクグラフ上の中心性」で、人気とは一致しない。
• 第 1 期の観測系: 第 1 期は観測の途中でワーカー実装を PHP 版から Python 版に切り替えたため、失敗の分類名が一部異なる。到達率・対策実施率の定義は両者で同じである。
• 指標の定義は「セキュリティ露出統計調査 2026」と同じ。HTTPS 強制＝HTTP で開いたときに HTTPS へ転送される、HSTS＝応答に Strict-Transport-Security がある、版の非表示＝Server と X-Powered-By にバージョン番号が無い、CVE 露出＝ヘッダーに書かれた版が公開 CVE の影響範囲に入る（上限値）。
• 合算値: 本稿の「合算」は Tranco 由来 911,485 件と Common Crawl 由来 3,949,993 件を単純に足したもので、加重はしていない。Common Crawl が 8 割を占めるため、合算値は第 2 期の値に近い。

到達率 ― ランキングの名前の 1 割は消えている

第 2 期 3,949,993 件のうち、HTTP 応答が得られたのは 3,145,094 件（79.6%）。DNS 未解決が 14.4%、接続失敗が 3.5%、TLS エラーが 2.5% だった。第 1 期は到達 85.3%、DNS 未解決 6.8%（図 1）。

順位帯で見ると、Tranco は上位 10 万（80.8%）より 60〜100 万位（87.7%）のほうが到達率が高い。上位には CDN の配信用ドメインや API 用のホスト名など「ブラウザで開くサイトではない名前」が多いためである。Common Crawl 側は上位 10 万で 90.3%、60〜100 万位で 82.2%、100〜200 万位で 78.4%、200〜300 万位で 81.9%、300 万位以降で 75.5%（図 2）。

途中報告で宿題にした「60〜100 万位の帯だけ低い」件を、失敗の内訳と観測時刻で切り分けた（図 13）。失敗の大半を占める DNS 未解決は、順位が下がるほど増える（上位 20 万位で 6.8%、400 万位以降で 25.8%）。これは母集団の性質で、下位ほど消滅したドメインが多い。ただし一様ではなく、160〜180 万位の 20 万件だけは DNS 未解決が 35% と突出していた。この帯の失敗ホストを後日、別の DNS サーバー（1.1.1.1・8.8.8.8）で www 付きも含めて引き直しても 1 件も解決せず、消滅済みのドメインが塊で並んでいることが分かった。リンクネットワークで中心性が高かった古いドメイン群が、サイトの消滅後もランキングに残っている。

一方、接続失敗と TLS エラーは観測時間帯に偏りがあった。60〜100 万位の帯（初回観測 10 月 28 日 00:00〜02:23）は初回観測で接続失敗 4.1%・TLS エラー 4.1% と前後の帯（2〜3%）の約 2 倍で、同じ時間帯に観測した他の帯でも同じ失敗が増えていたため、観測元の一部回線の一時的な不調が混ざっていると判断した。そこで Common Crawl 側で接続失敗・TLS エラーに終わった全ホストを最終集計の前に再観測し、本稿の数値はその結果を反映している。ただし再観測で応答に転じたのは一部にとどまった。60〜100 万位の到達率は 81.6% から 82.2% へ、接続失敗と TLS エラーの合計は 8.2% から 4.6%＋3.0% へ動いただけで、前後の帯（86.0%・78.4%）のあいだに収まる。観測系の不調は上乗せ分の一部で、失敗の大半はその時点で本当に応答しなかったホストである。一方 HSTS は 23.4% と全帯で最も低いままで（前後の帯は 33.4%・27.3%）、HSTS は到達したサイトだけで算出するので到達率の問題ではない。この帯の母集団に何らかの偏りがあると考えられるが、原因は本稿では特定できていない。

対策の実施率 ― 何が変わり、何が変わらないか

応答があったサイトに占める実施率を図 3 と表に示す。合算は Tranco と Common Crawl の単純合計である。

HTTPS 強制は 2 つの母集団でほぼ同じで、HTTPS 化はランキングの外側まで行き渡っている。差が出るのは、サイト側で意図して設定する必要がある対策である。HSTS（-7.3 ポイント）、CSP（-11.6 ポイント）、X-Frame-Options（-19.8 ポイント）、Referrer-Policy（-13.4 ポイント）、そして WAF/CDN を前段に置く割合（-15.3 ポイント）が下がる。WAF/CDN の差は、Cloudflare を Server ヘッダーに名乗るサイトが第 1 期の 42.8% から第 2 期の 29.1% に減ったことで説明がつく。Cloudflare などの前段は、サイト側が何もしなくても一部のヘッダーを付けるため、前段が減るとヘッダーの実施率も連れて下がる。

Cookie を発行していたサイト（第 2 期 879,428 件）では、Secure 68.0%、HttpOnly 59.5%、SameSite 指定 48.2%（第 1 期 64.5% / 67.9% / 57.8%）。

途中報告（100 万件時点）から何が動いたか

途中報告は Common Crawl の先頭 1,002,874 件（順位 1,256,831 位まで）の集計だった。同じ範囲を全件と並べると、到達率は 85.8% → 79.6%、HTTPS 強制 95.3% → 94.8%、HSTS 29.6% → 27.8%、CSP 16.0% → 14.3%、WAF/CDN 前段 35.2% → 35.6%、版の非表示 72.6% → 73.6%、CVE 露出 10.5% → 9.8%（図 12）。残りの約 295 万件を足しても、対策の実施率は数ポイントの範囲でしか動かず、途中報告の見立ては変わらなかった。大きく動いたのは到達率で、順位が下がるほど消滅ドメインが増えるためである。

順位が下がると対策も下がるか ― 2 つのランキングの違い

Tranco では順位帯が下がるほど HSTS・CSP が下がる。HSTS は上位 10 万の 44.9% から 60〜100 万位の 31.9% へ、CSP は 31.8% から 23.5% へ下がる。「よく使われるサイトほど対策が進んでいる」という素直な傾向である。

Common Crawl の順位帯では、HSTS が上位 10 万で 34.4%、10〜30 万位で 34.4%、30〜60 万位で 33.4%、60〜100 万位で 23.4%、100〜200 万位で 27.3%、200〜300 万位で 30.4%、300 万位以降で 25.2%。CSP は上位 10 万の 20.1% から 300 万位以降の 12.8% へ、途中で上下しながら全体としては下がる（図 4）。HSTS は上位 60 万位まで 34% 前後で平坦なあと、帯ごとに 23〜31% の間を上下し、Tranco のような一方向の傾きにならない。Common Crawl のハーモニック中心性は「多くのページからリンクで到達しやすい」ことを測る指標で、利用者が多いことと同じではない。相互リンクの多いディレクトリ型サイトや、リンク集を持つ古いサイト群が上位に入りやすく、人気順とは別の集団になっている。

TLS と証明書

接続に使われた TLS の版は、第 2 期で TLS 1.3 が 86.7%、TLS 1.2 が 6.0%（第 1 期 85.5% / 9.3%、合算 86.4% / 6.6%）。本調査の方法では TLS 1.0/1.1 しか話せないサイトは接続に失敗し、他の失敗と区別できない。証明書は第 2 期で DV が 91.6%、OV が 1.0%（第 1 期 OV 4.0% / EV 0.2%。第 2 期の観測系は EV を検出しておらず、第 1 期の EV と直接比較しない）。母集団を広げるほど OV の割合は下がり、無料の DV 証明書で運用されるサイトの比重が増す（図 5）。

サーバー製品と版の露出

Server ヘッダーに名乗る製品は、第 2 期では Cloudflare 29.1%、nginx 19.0%、Apache 19.5%、LiteSpeed 5.2%（第 1 期 Cloudflare 42.8%、nginx 18.3%、Apache 12.2%、LiteSpeed 2.7%）。母集団を広げると Cloudflare が減り、Apache と LiteSpeed が増える。共用レンタルサーバーで多い構成である。版番号まで名乗る割合は nginx で 20.3%、Apache で 15.0%、IIS で 99.9%（IIS は既定で版を名乗る）。

CMS では、WordPress と判定できたサイトが第 2 期の応答サイトの 25.4%（第 1 期 13.4%、合算 23.0%）。母集団を広げると WordPress の比重が大きく上がる。Shopify は第 1 期の 3.8% から第 2 期の 1.0% に下がった。

WordPress と PHP の版の組み合わせ

WordPress と判定できたサイトのうち、PHP の版を名乗るものは第 2 期で 20.4%（163,110 件）で、WordPress 以外の 6.3% より高い。名乗った版のうちサポート終了版は WordPress で 38.4%、WordPress 以外で 51.4% と、WordPress のほうが低い。WordPress 本体が新しい PHP を要求し、管理画面がサポート切れを警告するため、PHP の更新が進みやすいとみられる。逆に WordPress サイトの HSTS は 20.5%、CSP は 11.6%、版の非表示は 71.1% で、WordPress 以外（HSTS 30.3%、CSP 15.2%、版の非表示 74.5%）より低い。PHP は更新されるが、ヘッダーの設定はサーバー側の作業として残されている。第 1 期の WordPress サイトではサポート終了版が 28.7% だった。

PHP の版とサポート状況

PHP の版を X-Powered-By などで名乗るサイトは、第 2 期で応答サイトの 9.9%（310,928 件、第 1 期 6.8%）。名乗った版のうち、サポート終了版（PHP 8.1 以前）は 44.6%（138,528 件、第 1 期 48.5%）。PHP 5 系は 27,526 件、7 系は 76,717 件残っている。セキュリティ修正のみの 8.2（2026 年 12 月 31 日まで）は 42,926 件、サポート中の 8.3 以降は 129,445 件だった（図 7）。合算では、版を名乗る 363,719 件のうちサポート終了版が 45.1%（164,150 件）である。

版を名乗る割合が増えたのに、サポート終了版の割合は下がった。レンタルサーバーで PHP の切替が進み、標準設定で版を隠さない環境が多いことの両方が効いていると考えられる。版を名乗ること自体は直接の脆弱性ではないが、サポート終了版を名乗ることは攻撃者に対象を教える。

CVE 露出（上限値）

ヘッダーに書かれた版が公開 CVE の影響範囲に入るサイトは、第 2 期で応答サイトの 9.8%（309,323 件）。うち RCE（リモートコード実行）系の CVE を含むのは 4.0%、CRITICAL を含むのは 7.9%。第 1 期は 10.6% / 3.3% / 7.4%、合算は 10.0% / 3.8% / 7.8%（図 8）。母集団を 100 万から 500 万に広げても、この水準はほぼ変わらない。

製品別では、PHP の版を名乗るサイトの 52.2%、Apache の版を名乗るサイトの 87.1%、nginx の版を名乗るサイトの 54.1% が、公開 CVE の範囲内の版だった。これらは版表記に基づく上限値で、Debian や RHEL 系のように版番号を変えずに修正を適用（バックポート）している場合を反映できない。攻撃の成否は検証していない。RCE 系で最多の CVE-2024-3566 は Windows 上の PHP-CGI に限る事例が多く、Linux の共用サーバーでは該当しないことが多い。

基本対策スコア

HTTPS 強制・HSTS・CSP・X-Frame-Options・X-Content-Type-Options・版の非表示・有効な証明書の 7 項目のうち、満たした数を 0〜7 のスコアにした。第 2 期の平均は 3.56（第 1 期 4.10、合算 3.67）。第 2 期は 3 点（36.5%）に集中し、7 点満点は 4.3%（第 1 期 10.2%）にとどまる（図 9）。「HTTPS と証明書と版の非表示まではできているが、ヘッダーは手つかず」という形がもっとも多い。

TLD 別

Common Crawl 側で多い TLD について、HSTS と CSP の実施率を第 1 期の同じ TLD と並べた（図 10）。.jp は第 2 期で HSTS 14.9%、CSP 7.4%（第 1 期 27.6% / 11.0%）で、.ru（HSTS 15.7% / CSP 6.4%）と並んで主要 TLD の中で最も低い水準にある。.de は第 1 期の 45.0% から第 2 期 28.0% と下げ幅が大きい。.io・.app など新しい gTLD は両期とも HSTS が高い。

主要 TLD の合算値（Tranco＋Common Crawl）を表にまとめる。

500 万件で見た「ウェブ全体」の水準

Tranco と Common Crawl を合算した 4,861,478 件（応答 3,922,585 件）の値を「ウェブ全体の目安」として示す。HTTPS 強制 95.1%、HSTS 29.3%、CSP 16.6%、X-Frame-Options 26.3%、X-Content-Type-Options 32.6%、版の非表示 73.8%、WAF/CDN 前段 38.7%、TLS 1.3 86.4%、CVE 露出（上限値）10.0%、基本対策スコア平均 3.67。

この合算は単純合計で、Common Crawl が 8 割を占める。Tranco 上位 100 万だけを見た値（HSTS 35.1%、CSP 25.9%）は、よく使われるサイトの水準としては正しいが、ウェブ全体の水準としては高めに出る。逆に、母集団を広げても HTTPS 強制・TLS 1.3・CVE 露出の水準はほとんど動かなかった。HTTPS 化と TLS の更新はホスティング事業者側で進む対策であり、HSTS や CSP はサイト運営者が自分で設定する対策である。500 万件で見えたのは、この 2 種類の対策の間にある差である。

限界と注意

• 第 2 期の母集団は Common Crawl のハーモニック中心性順位で、人気順ではない。「上位 N 位」を Tranco と同じ意味で読まないこと。
• 到達率は観測元（国内回線）からの到達性で、地域制限やボット対策で応答しなかったサイトは失敗に含まれる。第 2 期の接続失敗・TLS エラーは再観測したが、DNS 未解決は再観測していない（サンプル検証で消滅を確認）。
• 第 1 期は観測系の切替があり、失敗分類の名前が一部異なる。到達と対策の定義は同じ。
• CVE 露出は版表記に基づく上限値で、バックポート修正を反映できない。攻撃の成否は検証していない。
• 合算値は加重していない単純合計である。
• ICANN CZDS（ゾーンファイル）由来の母集団は含まれていない。
• 個別のサイト名は本稿では出さない。

よくある質問

これは攻撃ではないのか。

いいえ。各サイトに対して行ったのは、ブラウザでそのサイトを 1 回開くのと同じアクセスで、公開されている HTTP 応答と DNS 情報のみを扱っている。ポートスキャンや脆弱性の探索は行っていない。

なぜ Common Crawl を使ったのか。

Tranco は 100 万件で終わる。500 万件に広げるには、公開されていて再現できる大きな名簿が要る。Common Crawl のドメインランクは申請不要で誰でも同じファイルを取得でき、実際にクロールで到達した名前に限られるため、ゾーンファイルより「公開サイト」に近い。

2 つの母集団の数値を足して「世界平均」にしてよいか。

母集団の性質が違うので分けて示したうえで、第 14 節で単純合計の値も示した。加重はしていない。

途中報告と数値が違うのはなぜか。

途中報告は Common Crawl の先頭 1,002,874 件の集計で、本稿は 3,949,993 件の集計である。第 5 節に同じ範囲での比較を示した。本稿の値を正とする。

自分のサイトを同じ方法で確認できるか。

できる。サイトスカウターのサーバー情報調査に URL を入れると、本調査と同じ非侵襲の方法で TLS・HSTS・ヘッダー・版露出を確認できる。

データは改ざんされていないか。

観測結果は追記専用のテーブルに保存し、集計スクリプトと CSV は再計算できる形で保存している。

出典・参考資料

最終確認日：2026-10-29。制度・仕様は変更されることがあるため、実施前に各一次情報をご確認ください。

• Common Crawl: Web Graphs（ドメインランク）
• Tranco: A Research-Oriented Top Sites Ranking
• MDN: Strict-Transport-Security
• MDN: Content-Security-Policy
• PHP: Supported Versions（php.net）
• NVD - National Vulnerability Database（NIST）
• 途中報告: 世界500万サイトのセキュリティ実態調査（サイトスカウター）