Googleのデータを読み取るだけでなく、SaaSMaestro自体があなたのウェブサイトにアクセスして、Googleでは分からない問題を検出できます。チェックは「設定」→ ワークスペース →「データ接続」の「ウェブサイトの健全性」にあります。それぞれが独立したサービスで、オーナーまたは管理者がダイアログで有効にするまでオフになっており、そこで対象のウェブサイトも選択します。インストールは不要です。
チェックは当社のサーバー（35.214.110.192）から行われます。ウェブサイトがファイアウォール、Cloudflare、セキュリティプラグインの背後にある場合は、まずそのアドレスを許可リストに登録してください。当社のIPアドレスを許可リストに登録するをご覧ください。
サービス一覧
| サービス | 頻度 | チェック対象 |
|---|---|---|
| 稼働状況の監視 | 15分ごと | ホームページが応答するか（障害と判定する前に他のリージョンから確認）に加え、Googleタグ、robots.txt、サイトマップ、ページの毎日のチェックと月次レポート。 |
| SSL証明書の監視 | 毎週 | 証明書の有効期限と発行元、そして訪問者が実際にHTTPSを利用できているか。 |
| ドメイン監視 | 毎週 | ドメイン登録の有効期限、レジストラ、およびレジストリによる保留。 |
| DNSとメールのセキュリティ | 毎日 | ネームサーバーとメールサーバーの変更、およびSPF、DMARC、DKIMレコード。 |
| ブラックリストとマルウェア | 毎日 | Googleの危険なサイトと不正利用のWeb Riskリスト、およびabuse.chのURLhausマルウェアリスト。 |
| セキュリティヘッダー | 毎週 | 一般的な6つのセキュリティヘッダー（AからFで評価）と、通常のHTTPで読み込まれるファイル。 |
| ラボのパフォーマンス | 毎週 | モバイル版ホームページのPageSpeed Insightsテストと、スコアの推移。 |
| Core Web Vitals | 毎日 | Chrome UXレポートによる実際の訪問者の速度。APIキーを設定すると、稼働状況の監視の毎日のチェック中に読み取られます。 |
| 重要ページのチェック | 5分、15分、60分ごと | 料金ページや登録ページなど、選択したページは、読み込めて、指定したテキストを含んでいる必要があります。 |
| ハートビート監視 | 設定した頻度 | お客様のcronジョブ、バックアップ、ワーカーが専用のアドレスにリクエストし、止まるとアラートが届きます。 |
新しいウェブサイトを追加すると、ワークスペースですでに有効になっているサービスが提案されます。SSL、ドメイン、DNS、ブラックリスト、セキュリティヘッダー、パフォーマンスの各チェックの警告は、チェックで検出され次第、それぞれ1回のみ、「重大な問題のアラート」としてオーナーと管理者にメールで送信され、受信設定のあるチャットチャンネルにも送られます。
稼働状況
各ウェブサイトのホームページは15分ごとにチェックされます。1回の応答の遅れによる誤検知を避けるため、2回連続でチェックに失敗した場合にのみダウンとみなされます。「認証されていません」や「リクエストが多すぎます」などの応答は、サーバーが応答しているため稼働中とみなされます。
2回目の失敗を障害と判定する前に、他のリージョンのサーバーもウェブサイトを読み込みます。大半が読み込めた場合、問題は当社のメインサーバーとウェブサイトの間（ネットワーク障害やファイアウォールのルールなど）にあるため、障害とは判定されません。使用中のリージョンは、「稼働状況の監視」ダイアログに一覧表示されます。
ウェブサイトがダウンすると、オーナーと管理者にすぐにダウンタイムのメールが届き（1回の障害につき週1回まで）、復旧するまで重大な問題が発生します。毎月1日には、各ウェブサイトの前月の稼働率と障害をまとめた月次の稼働状況レポートも届きます。このレポートは、各自が「通知」でオフにできます。
毎日のチェック
これらは稼働状況の監視とともに、対象となる各ウェブサイトに対して1日1回実行されます。
| チェック | チェック対象 |
|---|---|
| Googleタグ | ホームページに、このウェブサイトのGA4タグ、別のGA4 ID、Google Tag Managerのいずれがあるか、または何もないか。 |
| robots.txt | 存在するかどうか、変更されたかどうか、すべての検索エンジンをブロックしていないかどうか。 |
| サイトマップ | 記載されているURLの数（子サイトマップは最大10件まで読み込み）。 |
| Core Web Vitals | Chrome UX Reportによる実際の訪問者にとっての表示速度：Largest Contentful Paint、Interaction to Next Paint、Cumulative Layout Shift。ワークスペースの［データ接続］タブにある「Core Web Vitals」ボックスでChrome UX ReportのAPIキーを設定する必要があります。 |
| Googleのインデックス登録状況 | Search Consoleに紐付いたウェブサイトについて、監視中の各ページがGoogleのインデックスに登録されているかをURL Inspection APIで確認します。 |
| 内部リンク（毎週） | 監視中のページから自サイトへのリンクを最大40件たどり、404、410、またはサーバーエラーを返すものを一覧表示します。 |
同意管理ツールやTag Manager経由でGoogleタグを読み込んでいるウェブサイトでは、トラッキングが正常に機能していても「Google Tag Managerを検出」や「見つかりません」と表示されることがあります。確実を期すには、GA4のリアルタイムレポートを確認してください。
SSL証明書
週に1回、当社のサーバーが各ウェブサイトの証明書を読み取り、有効期限と発行元を確認します。有効期限が8日以内に迫っている場合や、HTTPSが利用できない場合は、毎日確認するため、更新が反映されたことを警告が出る前に把握できます。証明書の期限切れの1週間前、前日、そして期限が切れた時点で警告されます。14日前から、ウェブサイトのページに課題として表示されます。
訪問者がHTTPSを利用できるかどうかも確認します。ウェブサイトが通常のHTTPでしか応答しない場合や、通常のHTTPでウェブサイトが表示されてHTTPSにリダイレクトされない場合に警告されます。これらの警告は、修正されるまで毎週繰り返されます。
ドメイン登録
週に1回、登録ドメイン（shop.example.comならexample.com）をRDAPでレジストリに照会します。レジストリがRDAPに対応していない場合はWHOISを使います。有効期限まで1か月を切ると、毎日照会します。登録の期限切れの1か月前、1週間前、前日、そして期限が切れた時点で警告されます。また、ウェブサイトとメールが使えなくなるレジストリによるドメインの保留、または期限切れで削除寸前の状態になった場合も、すぐにアラートが届きます。
DNSとメールのセキュリティ
1日1回、DNS-over-HTTPSを通じてドメインのDNSレコードを照会するため、結果はインターネット上の他の場所から見えるものと一致します。ネームサーバーまたはメールサーバーの変更はすぐにアラートとなり、ドメインの乗っ取りや移行の失敗はまさにこのような状態になるため、ウェブサイトのページに1週間表示され続けます。
メールを受信するドメインでは、SPFレコードの欠落、複数のSPFレコード、誰でも送信を許可するSPFレコード（+all）、DMARCレコードの欠落も検出します。DKIMは一覧を取得できないため、一般的なメールサービスが使うセレクターで毎週確認し、見つかった場合のみ表示します。
ブラックリストとマルウェア
1日1回、各ウェブサイトをGoogleのWeb Riskリスト（Chromeなどのブラウザーがウェブサイトではなく赤い警告ページを訪問者に表示する原因となるリスト）と、abuse.chのマルウェアダウンロードのURLhausリストで照会します。どちらかに該当する場合は通常、ウェブサイトが侵害されたことを意味するため、すぐにアラートが届きます。
このチェックには、Google Web Risk APIキー、URLhaus認証キー、またはその両方をダイアログに保存しておく必要があります。どちらもない場合は実行されません。Googleの無料のSafe Browsing APIは商用利用のライセンスがないため、有料のWeb Risk APIを使用しています。
セキュリティヘッダーと混在コンテンツ
週に1回、ホームページをHTTPSで読み込み、6つのヘッダーで評価します：Strict-Transport-Security（HSTS）、Content-Security-Policy、X-Content-Type-Options、X-Frame-Options（またはCSPのframe-ancestors）、Referrer-Policy、Permissions-Policy。6つすべてでA、5つでB、以下同様です。HSTSがない場合、または送信されているヘッダーが4つ未満の場合に通知されます。
ページ内では、通常のHTTPで読み込まれるファイルも検索します。そのように読み込まれたスクリプト、スタイル、フレームはブラウザーにブロックされ、ページが壊れる可能性があります。画像やメディアは鍵のマークが表示されなくなります。確認するのは配信されたままのHTMLのみのため、スクリプトによって後から追加されるファイルは検出されません。
ラボのパフォーマンス
週に1回、GoogleのPageSpeed Insightsが各モバイル版ホームページをシミュレートしたスマートフォンでテストし、読み込み、ブロッキング、レイアウトシフトの計測値とともに100点満点でスコアを付けます。直近12週間分のスコアが保存されます。スコアが50未満になった場合、または前回のテストから15ポイント以上低下した場合に通知されます。実際の訪問者のCore Web Vitalsに反映される前に気付けることも多くあります。Core Web Vitalsと同じGoogle APIキーを使用し、そのプロジェクトでPageSpeed Insights APIを有効にしておく必要があります。テストは当社ではなくGoogleのサーバーから実行されます。
重要ページのチェック
料金、登録、チェックアウトなど最も重要なページと、それぞれに含まれているべきテキストを追加し、5分、15分、60分ごとのいずれかでチェックするよう選択します。ページが読み込めない、エラーが返される、またはテキストが含まれなくなった場合に失敗となるため、「200 OK」を返し続ける壊れたページも検出できます。テキストは、スクリプトが実行される前の、当社のサーバーが受け取るままのページから探します。
2回連続で失敗すると、オーナーと管理者にダウンタイムのメールが届き、チャットチャンネルに通知され、重大な問題が発生します。ページが復旧すると、再度通知されます。
ハートビート
各ハートビートには専用のアドレス（例：https://saasmaestro.com/hooks/heartbeat/…）が割り当てられます。ジョブが実行されるたびにこのアドレスへリクエストするようにしてください。たとえば、cron の行の末尾に curl -fsS とアドレスを追加します。GET、POST、HEADのいずれのリクエストも有効です。
ping が届く頻度を5分ごとから週1回までの間で選び、実行に時間がかかるジョブのための猶予期間も設定します。間隔と猶予期間の間に ping が届かない場合、オーナーと管理者にダウンタイムのメールが届き、チャットチャンネルに通知され、重大な問題が発生します。ping が再開すると、再度通知されます。ハートビートは、最初の ping が届くまで監視されません。
監視対象のページと自動メモ
SaaSMaestroはホームページとアクセスの多い上位5つのランディングページを監視します。ページのステータス、タイトル、メタディスクリプション、robotsディレクティブ、canonicalアドレス、またはrobots.txtが変更されると、タイムラインにメモが自動で追加され、「自動検出」と表示されます。ページがGoogleのインデックスから外れた場合も同様です。そのため、予期しないトラフィックの変化には、多くの場合すでにグラフ上に説明が付いています。
確認場所
「データ接続」の各サービスのボックスには、最後に実行された日時と対応が必要なウェブサイトの数が表示され、時計アイコンから最近の結果を開けます。各ウェブサイトのページには、最新の結果を表示する「ウェブサイトの健全性」セクションがあります。問題は課題としても表示されます。問題のチェックと深刻度をご覧ください。