SSHサーバー設定監査
sshd_configを貼り付けるか、ファイルをアップロードしてください。監査はすべてブラウザ内で行われ——何もアップロードされません——スコア、行ごとの指摘、ダウンロードできる強化済み設定が得られます。
sshd_configは、誰がサーバーにどうログインできるかを決めるファイルです。rootログイン、パスワード認証、提供する暗号と鍵交換アルゴリズム、アイドルセッションの保持時間などです。このツールはブラウザ内で、Mozilla OpenSSHガイドラインとOpenSSH 10.6のデフォルトに基づいてsshd_configを監査し、0～100のスコアを付け、指摘を行ごとに列挙し、ダウンロードできる強化済み設定を生成します。初回一致セマンティクス、Matchブロック、Include行を理解しているため、最初のページがきれいに見えても、弱いMatchブロックを隠すことはできません。鍵の生成にはSSH鍵スイートを、パスワードの漏洩確認にはパスワード漏洩チェックを、設定に秘密情報が紛れ込んだ場合は漏洩シークレットスキャナーをお使いください。関連記事SSHサーバー設定の強化方法では同じ設定を文章で解説しています。
基準：Mozilla OpenSSHガイドライン + OpenSSH 10.6デフォルト、2026-11-13に検証。
最終更新:
🔒 設定はブラウザ内で解析され、端末を離れることはありません。アカウント不要、アップロードなし、サーバー呼び出しなし。
貼り付けた設定の扱い
何もブラウザを離れません。設定はこのページのJavaScriptでローカルに解析されます。アップロードなし、サーバー呼び出しなし、保存なし、アカウント不要です。サーバー設定はインフラの詳細——ホスト名、ユーザー名、許可ユーザー、ポート——であり、チャットやサーバー側チェッカーに貼るべきではないからです。ページを閉じれば破棄されます。
このスコアが証明しないこと
クリーンなスコアは安全の証明ではありません。このファイルがこの基準で指摘されるディレクティブがない、というだけのことです。弱い鍵、漏洩した認証情報、未パッチのsshd、欠けたファイアウォールがあれば、すべて台無しになります。
悪いスコアは侵害の証明ではありません。優先順位付きの変更リストです。まずエラーを、次に警告を修正してください。
基準は変わります。この監査は2026-11-13に検証したMozilla OpenSSHガイドラインとOpenSSH 10.6デフォルトに基づくものです。今日モダンなアルゴリズムも、明日には非推奨になるかもしれません。sshdをアップグレードしたら再監査してください。
スコアの算出方法
エラー1件につき15点、警告1件につき7点減点され、注記は減点されません。Matchブロック内の指摘は条件付きです——そのブロックに一致するセッションにのみ適用されるため、列挙はされますがスコアは下がりません。4つのバンドは意図的に粗く分けています。80～100が高、60～79が中、40～59が低、0～39が不良です。細かく分ければ、設定監査にはない精度を装うことになります。
監査の仕組み
sshdは各ディレクティブを一度だけ読みます。各キーワードについて、最初に見つかった値が採用され、後の重複は黙って無視されます。このツールは有効な行を示し、隠れた重複を指摘するため、最初の行の下にある「修正済み」の行に騙されることはありません。欠けているディレクティブはOpenSSHのデフォルトで監査されます。デフォルト自体が緩い場合、欠けていることは合格とはみなされません。そのため、PasswordAuthenticationは手つかずの設定で最も多い指摘なのです。
Matchブロック内のディレクティブは、その条件に一致するセッションにのみ適用されるため、そこでの指摘は条件付きです。属するブロックとともに列挙されますが、スコアは下がりません。Include行は「追跡されない」として指摘されます。インクルードされたファイルは読まれないため、そこにしかないディレクティブはこの監査では見えません。完全な監査には、統合後の設定を貼り付けてください（sshd -Tは有効な設定を出力します）。
このツールはファイルを読むもので、実行中のサーバーを見るものではありません。sshdが実際にこの設定を使っているか、鍵がどれほど強いか、ファイアウォールやfail2banがポートを守っているかは分かりません。PAMがまだパスワードを受け付けられる場合、PasswordAuthenticationを無効にするだけでは不十分です。KbdInteractiveAuthenticationとPAMスタックも確認してください。ポートの変更は難読化であり、強化ではありません。記録はされますが、採点されることはありません。
よくある質問
PasswordAuthenticationが最も多い指摘になるのはなぜですか？
OpenSSHのデフォルトがyesだからです。ほとんどのディストリビューションはパスワードログインを有効にしたまま出荷され、多くの運用者は無効にしません。これを無効にすること、そしてKbdInteractiveAuthenticationとPAM（パスワードをまだ受け付けられる）を確認することは、ポートを変更することよりはるかに重要です。ポート変更はログイン画面を移すだけです。
設定が複数のIncludeファイルに分かれています。なぜ監査はそれらを無視するのですか？
このツールはブラウザ内で動作し、サーバーのファイルシステムを読めないため、Include行は黙ってスキップするのではなく「追跡されない」として指摘されます。代わりに統合後の設定を貼り付けてください。sshd -Tはすべてのインクルードを解決した有効な設定を出力します。この監査はそのファイルのために作られています。
強化済み設定をそのままサーバーに置けますか？
いいえ。まず確認してください。ダウンロードされるファイルは、指摘されたディレクティブを基準値に書き換え、削除された行や隠れた行をコメントアウトしますが、あなたのMatchブロック、ユーザー、ネットワークは知りません。sshd -tでテストし、1つのセッションを開いたままにして、最初のセッションを閉じる前に2つ目のログインをテストしてください。