公開中のサイトは、AI アシスタントに診断させましょう
アシスタントはコードを書きますが、デプロイしたサイトが実際に何を返しているかはほとんど見ていません。どのキーが公開 JavaScript に入ったか、ホスティングがどんなヘッダーを送っているか、検索エンジンに何が見えているか。ScanYourSite の無料診断へ案内してもらい、修正用のプロンプトをチャットに貼り戻してください。MCP で接続すれば、診断・修正・再診断をアシスタントが自分で行います。
無料・登録不要。基本診断は、通常のブラウザと同じリクエストしか送りません。
診断のあと、アシスタントが受け取るもの
- 重大無料診断
公開 JavaScript 内のシークレットキー
OpenAI、Anthropic、Stripe のシークレットキー、Supabase の service_role キーが、訪問者全員のブラウザに送られています。レポートはファイル名を示し、キーを伏せ字で表示します。アシスタントはどこを探せばよいか、そしてコードから消すだけでなくキーを無効化する必要があることがわかります。
- 重大Pro
外から見える .env や .git、誰でも読める Supabase のテーブル
ドメインの所有確認のあと、/.env や /.git/config など少数のパスをリクエストし、各 Supabase テーブルが公開キーに何行返すかを数えます。中身は一切読みません。
- 高Pro
サイトを壊したデプロイ
監視中は、新しいバージョンを数分以内に確認します。応答があるか、ページが描画されるか、スクリプトが読み込まれるか、キーが漏れていないか。何が失敗したかは、エージェントが get_deploys で確認できます。
- 中無料診断
ホスティングが送っていない保護
Content-Security-Policy、HSTS、クリックジャッキング対策がありません。これらはホスティングの設定にあり、コーディングアシスタントは頼まれない限りほとんど触りません。修正用のプロンプトが、どこに追加すればよいかを伝えます。
- 低無料診断
検索エンジンと AI アシスタントに見えているもの
タイトル、ディスクリプション、リンクプレビュー、robots.txt、サイトマップ、そして AI クローラーをブロックしていないか。元の HTML と、実際のブラウザで描画したページの両方で確認します。
設定の方法は3つ
まずは1つ目から。アカウント不要で、Lovable、Bolt、v0、Replit Agent のようなチャット型のビルダーを含め、どのアシスタントでも使えます。MCP は、あなたが間に入らなくてもエージェントに診断させたいときのためのものです。
設定なし:リンクを頼む
アシスタントにこう伝えます:「公開中のサイトを ScanYourSite で診断するリンクをちょうだい」。リンクは下のアドレスの末尾をあなたのドメインにしたものです。開くとドメインが入力済みのページが表示されます。診断が始まるのは「サイトを診断」を押したときだけなので、リンクのプレビューで診断が始まることはありません。1分ほどでレポートが届いたら、「プロンプトをコピー」を押してチャットに貼り戻してください。
https://scanyoursite.app/ja?check=example.com
Claude Code:MCP で接続
メールアドレスで scanyoursite.app にログインします。パスワードは不要で、アカウントは無料です。アカウントページの「AI エージェントを接続」でトークンを作成します。トークンは一度しか表示されません。続いてターミナルでコマンドを1つ実行します。syst_… の部分は自分のトークンに置き換えてください:
claude mcp add --transport http scanyoursite https://scanyoursite.app/mcp \ --header "Authorization: Bearer syst_…"
Cursor:mcp.json にサーバーを追加
これを ~/.cursor/mcp.json に書くと、すべてのプロジェクトで使えます。プロジェクトの .cursor/mcp.json に書く場合は、そのファイルを git に含めないでください。トークンはあなたのアカウントとして働きます。カスタムヘッダー付きの streamable HTTP に対応した MCP クライアントなら、同じ方法で接続できます。
{ "mcpServers": { "scanyoursite": { "url": "https://scanyoursite.app/mcp", "headers": { "Authorization": "Bearer syst_…" } } } }接続後にエージェントができること
scan_site は任意のドメインを外側から診断します(無料アカウントでは新規の診断が1日20回まで)。get_report と get_fix_prompt は指摘と修正方法を返します。rescan は監視中のサイトを修正後に再診断します(1時間に6回まで)。get_uptime、get_deploys、get_server_report は「サイトは落ちている?」「デプロイで何が壊れた?」「サーバーで何が起きている?」に答えます。どのツールもあなたのコードやホスティングには書き込みません。修正を適用するのはエージェントで、何を公開するかを決めるのはあなたです。
ルールを1つ足せば、「完了」の前に診断します
これを AGENTS.md、CLAUDE.md、または Cursor のルールに貼り付けます。Lovable や Bolt ならプロジェクトのカスタム指示に。MCP が接続されていればエージェントが自分で診断し、なければリンクを渡して、あなたがプロンプトを貼り戻すのを待ちます。
## デプロイ完了を報告する前に デプロイしたら、公開中のサイトを ScanYourSite で診断し、重大な指摘を修正してからタスク完了と報告すること。 - scanyoursite の MCP サーバーが接続されている場合:サイトが list_sites にあれば rescan、なければ scan_site を呼び、続けて get_fix_prompt を呼ぶ。 - 接続されていない場合:https://scanyoursite.app/ja?check=<サイトのドメイン> を私に渡し、レポートのプロンプトを貼り戻すまで待つ。 - 重大・高の指摘を修正し、再デプロイして、もう一度診断する。最後に、直したことと残っていることを伝える。
エージェントは頼んだときに診断します。監視は、頼まなくても。
アシスタントはファイルを丸ごと書き換えるため、直した問題が次のプロンプトで戻ってくることがあります。Pro なら新しいデプロイのたびに気づいて数分以内に確認し、新しく何かが壊れたときだけお知らせします。通知は Telegram、メール、Slack や Discord に届きます。新しい指摘の通知には、エージェントにそのまま渡せるプロンプトへのリンクが付き、Webhook では呼ぶべき MCP ツールも示されます。Pro:3サイトで月 $19 / €19。
プランを見るよくある質問
アシスタントがリンクを開くだけで診断が始まりますか?
いいえ。意図的にそうしています。?check= 付きのリンクはドメインを入力するだけで、診断を始めるのはボタンを押す人です。リンクのプレビュー、検索エンジンのクローラー、ブラウザの先読みで診断が始まることはありません。エージェントに自分で診断させたい場合は、MCP を接続してください。
アカウントは必要ですか?
リンクを使うだけなら不要です。診断は無料で、登録もいりません。MCP には無料アカウントとトークンが必要です。エージェントはあなたとして動くため、レポート、上限、権限はブラウザでのあなたと同じです。
MCP は無料ですか?
はい。無料アカウントでも、トークン、任意のドメインの単発診断(新規は1日20回まで)、レポート、修正用プロンプトが使えます。無料プランでは、1つのレポートにつき3件の指摘に説明と修正方法が付きます。残りは一覧に表示されますがロックされており、エージェントには推測させずにその旨が伝えられます。Pro(月 $19 / €19)では、すべての修正方法が開き、3サイトの監視が加わります。
コードやホスティングを書き換えられることはありますか?
ありません。どのツールも読み取りだけです。私たちはサイトを外側から見て、指摘と修正方法を返します。コードを直すのはあなたのエージェントで、何をデプロイするかを決めるのはあなたです。
これは本格的なセキュリティ監査ですか?
いいえ。公開中のサイトが実際に返しているものを外側から確認する診断です:公開スクリプト内のキー、ヘッダー、証明書、メールのレコード、プライバシー、検索の基本。ソースコードは読まず、ログインも侵入の試みもしません。より踏み込んだプローブは、あなたが所有を確認したドメインでだけ実行します。決済や機密データを扱うアプリなら、セキュリティの専門家によるレビューも受ける価値があります。
どのアシスタントで使えますか?
リンクはどれでも使えます。Lovable、Bolt、v0、Replit Agent のようなチャット型のビルダーも同じで、リンクを受け取り、プロンプトを貼り戻すだけです。MCP には、ヘッダー付きの HTTP でリモートサーバーに接続できるクライアントが必要です。Claude Code と Cursor は対応しており、ほかの対応クライアントも同じ方法で接続できます。
URL を貼るだけ。1分ほどで一覧が届きます。
どの指摘にも、あなたにとっての影響と直し方が付いています。AI コーディングツールにそのまま適用させるプロンプトとしても受け取れます。
無料・登録不要。基本診断は、通常のブラウザと同じリクエストしか送りません。