Google Dorkingとは — 自社サイトの検索露出を安全に点検する

Google Dorkingとは：検索結果と公開元は別の情報

Google Dorkingは、検索の絞り込み機能を組み合わせて公開情報を調べる手法の呼び名です。このページでは、所有・管理するサイトで意図しない公開を点検する目的に限定します。秘密情報、管理画面、カメラ、認証情報を探す探索クエリは掲載しません。

検索結果は現在の公開状態を保証しません。未掲載のファイルでもURLが分かれば開ける場合があり、公開を止めたページの古い情報が検索結果に残る場合もあります。

誰が・いつ使う点検か

対象はWeb担当者、情シス、開発者です。公開前レビュー、CMS移行、共有リンクの棚卸し、誤公開の連絡を受けたときに使います。第三者のファイルを開いて中身を集めるための手順ではありません。

自社の登録済みサイトをSearch Consoleで確認し、ページ台帳や公開ディレクトリ、CMSの公開状態と照合します。管理していないサイトの点検が必要なら、先に所有者と範囲を合意してください。

まず確認するチェックリスト

• 対象ドメイン・URLと所有者が分かるか。
• 本来の公開範囲は、全体公開・社内限定・特定の共有先のどれか。
• Search Consoleの情報と公開元の設定を区別して記録したか。
• バックアップ、設定ファイル、ソースコード等が公開ディレクトリに混在していないか。
• 共有リンク、CDNやキャッシュ、別ドメインの複製も確認対象にしたか。
• 秘密情報や個人情報が含まれる可能性を、必要最小限の閲覧で判断したか。

robots.txtとnoindexはアクセス制御ではない

robots.txtはクローラーへの指示であり、利用者によるアクセスを止める認証機能ではありません。Googleも、robots.txtでブロックしたURLが検索結果に現れる場合があると説明しています。

noindexも公開元の秘密情報を保護する仕組みではありません。社内限定資料は、認証・認可または非公開配置でアクセスを制御します。「検索で見つからないから安全」とは判断しません。

意図しない公開を見つけた時の初動対応

1. 所有者へ連絡し、URL、確認時刻、公開状態、情報の種類を記録する。
2. 所定の承認に従って公開元のアクセス制御や配置を修正する。証跡の保全と被害拡大防止を並行する。
3. Googleの削除手段を確認し、一時的な非表示と恒久的な公開停止を区別する。
4. APIキー、パスワード、個人情報が含まれる場合は、失効・影響調査・関係者への連絡を別に進める。
5. 公開元と検索結果を再確認し、未確認の複製やキャッシュを残す。

GitHubリポジトリの誤公開対応やクラウドストレージ誤公開の初動を、公開先に合わせて参照してください。

記録すること・やってはいけないこと

記録はURL、所有者、確認時刻・タイムゾーン、本来の公開範囲、観測結果、修正、失効対象、未確認事項、再確認日です。秘密情報の値は通常の報告書へ転載しません。

第三者の公開ミスを収集・拡散しない、証拠として機密ファイルを無断取得しない、削除申請だけで対応完了にしないことが重要です。アクセスが可能だったことは閲覧の許可を意味しません。

安全な理解確認にはURL構造解析ツールと用語クイズを利用できます。外部の不審URLへ接続せず、合成のURLで構造を学んでください。