攻撃者に見えているものを、平易な言葉で説明する

ウェブサイト

Website

ブラウザで開くページと、その裏で応答するサービスのことです。見た目のページのほかに、名前、IPアドレス、証明書、メールの設定が、それぞれ公開された部品として存在します。

ZeroKaiが見るところZeroKaiはその公開された部品を読みます。評価のとき、ページは開きません。

ブラウザ

Browser

人がウェブサイトを開くためのソフトです。名前の解決を頼み、HTTPSなら証明書を確認し、ページを表示します。アドレス欄の警告は、ブラウザが名前と証明書の対応に納得しなかったサインです。

ウェブサーバー

Web server

ブラウザからの要求にページやデータを返すソフト、またはそのソフトが動いているコンピュータです。会社の名前を管理するレジストラとは、別の役割です。

ZeroKaiが見るところ評価はウェブサーバーへ要求を送りません。公開された名前と記録の側を見ます。

ドメイン名

Domain name

example.co.jp のように、人が読めるインターネット上の名前です。期間を決めてレジストラに登録します。更新が切れると、同じ名前を別の人が登録できる状態になります。サイトの中身そのものではなく、中身を指すための名前です。

ZeroKaiが見るところ評価は、入力されたドメイン名について公開記録を集めます。

サブドメイン

Subdomain

ドメイン名の左側につく名前です。mail.example.co.jp や vpn.example.co.jp は、example.co.jp とは別の宛先を持てます。会社が公開している入口は、会社のトップページだけとは限りません。

ホスト名

Hostname

DNSで調べられる一つの名前です。example.co.jp と www.example.co.jp は別のホスト名で、別のアドレスや別の証明書を持てます。

ZeroKaiが見るところ証明書の透明性ログとDNSから、公開されているホスト名を集めます。

DNS

Domain Name System

インターネットの電話帳です。名前をIPアドレスに変え、メールの受け取り先や、証明書を発行してよい認証局も記録します。問い合わせを代わりに処理する仕組みをリゾルバーといいます。ブラウザは通常、このリゾルバーに名前を聞きます。

ZeroKaiが見るところZeroKaiのDNSの問い合わせは、公開リゾルバーへDNS over HTTPSで送ります。評価対象のサーバーには聞きません。

DNS over HTTPS

DoH

DNSの問い合わせを、暗号化されたウェブの通信（HTTPS）に載せて送る方法です。従来のDNSの問い合わせは、途中のネットワークから内容が見えることがありました。サイト自体のHTTPSとは別の保護です。名前を調べる通信の保護です。

ZeroKaiが見るところZeroKaiは公開リゾルバーへの問い合わせに、この方法を使います。

ネームサーバー

Nameserver

あるドメインのDNSの質問に答えるサーバーです。レジストラは、そのドメインの質問をどのネームサーバーへ向けるかを登録情報に書きます。サイトの中身を配信するウェブサーバーとは別です。

ZeroKaiが見るところ登録情報とDNSから、公開されているネームサーバーを読みます。

DNSレコード

DNS record

電話帳の一行です。AとAAAAはIPアドレス、CNAMEは別の名前、MXはメールの受け取り先、TXTはメモ、NSはネームサーバー、CAAは証明書を出してよい認証局を書きます。同じ種類のレコードでも、中の文字によって意味が変わります。

ZeroKaiが見るところ評価は、公開されているこれらのレコードを読みます。

CNAME

Canonical name

「この名前を聞かれたら、別の名前を見てください」というDNSレコードです。www を配信会社の名前に向けたり、古い名前を新しい名前へつなぐときによく使います。向き先の名前が消えていると、別の問題になります。

IPアドレス

IP address

インターネット上のコンピュータの数値の住所です。IPv4は 203.0.113.10 のような形、IPv6はより長い形です。一つの名前が複数のアドレスを持つことも、多くの名前が一つのアドレスを共有することもあります。

URL

Uniform Resource Locator

一つのページやデータの住所です。https://example.co.jp/pricing なら、https が通信の種類、example.co.jp がホスト名、/pricing がその中の場所です。ドメイン名はURLの一部であり、URLそのものではありません。

HTTP

Hypertext Transfer Protocol

ブラウザとウェブサーバーが、ページやデータをやり取りするための手順です。どのページが欲しいか、どう返すかを決めます。HTTPだけでは通信の中身は暗号化されません。暗号化された形がHTTPSです。

API

Application Programming Interface

人向けのページではなく、プログラム同士がやり取りするための窓口です。多くの場合はHTTPSの上で動きます。api.example.com のようなホスト名は、画面ではなく、この窓口を指していることがあります。

ZeroKaiが見るところ評価はそのAPIを呼び出しません。名前が公開記録に現れることまでを見ます。

HTTPS

HTTP Secure

HTTPをTLSで包んだものです。通信の中身を暗号化し、ブラウザは証明書で相手の名前を確認します。鍵のかかった錠のマークは、この確認をブラウザが受け入れたサインです。サイトの中のパスワード運用や、サーバーに入っているソフトの欠陥までを保証するものではありません。

TLS

Transport Layer Security。以前の名前はSSL

通信を暗号化し、証明書を使って相手を確認する手順です。以前の名前SSLは今も残っていますが、現在のサイトが使っているのはTLSです。サイトのHTTPSは、この手順の上に載っています。

暗号化

Encryption

内容を、受け取ってよい相手にだけ読める形に変えることです。ウェブサイトでは、TLSがブラウザとサーバーのあいだの通信を暗号化します。通信が暗号化されていても、サーバーに保存されたデータや、弱いパスワードが守られるとは別の話です。

証明書

Certificate。TLS証明書、SSL証明書とも

ある名前と公開鍵を結び、どの認証局が確認したか、いつまで有効かを書いた公開の文書です。ブラウザは、開こうとした名前が証明書に含まれているかを見ます。期限が切れた証明書や、別の名前の証明書では警告になります。

ZeroKaiが見るところ証明書の透明性ログに記録された発行と期限を読みます。ログにあることは、その証明書が今サーバーに入っていることまでは意味しません。期限が近いものは参考情報です。

秘密鍵

Private key

証明書の対になる、外に出してはいけない鍵です。証明書そのものは公開されます。秘密鍵を持っている人は、その証明書の名前で通信の相手を名乗れます。

ZeroKaiが見るところZeroKaiが秘密鍵を受け取ることはありません。

認証局

Certificate authority、CA

ブラウザが信頼している、証明書の発行者です。Let's Encrypt のように広く使われているものも、会社や政府の認証局もあります。信頼された認証局は、確認を通った名前の証明書を発行できます。どの認証局に任せるかは、CAAレコードで狭められます。

証明書の透明性

Certificate Transparency、CTログ

新しく発行された証明書を、誰でも読めるログに残す仕組みです。会社が知らない証明書が自分の名前で発行されていないか、外から確かめられます。ログに残るのは「発行された」という事実です。

ZeroKaiが見るところZeroKaiはこのログからホスト名、ワイルドカード、期限を読みます。サーバーへ証明書を取りにいきません。ログの記録は、その証明書がサーバーに配置済みであることまでは意味しません。

ワイルドカード証明書

Wildcard certificate

*.example.com のように、一つの証明書で多くのサブドメインをカバーできる証明書です。秘密鍵が漏れると、そのパターンに含まれる名前がまとめて影響を受けます。便利さと、影響の広さが同じ証明書に載っています。

ZeroKaiが見るところCTログにワイルドカードが見えたとき、参考情報として示します。ログにあることは、配置済みであることまでは意味しません。

CAA

Certification Authority Authorization

Certification Authority Authorization。そのドメインの証明書を発行してよい認証局を、DNSに書いておくレコードです。書いておくと、リストに無い認証局は発行を断る決まりです。

ZeroKaiが見るところCAAが公開されていないとき、参考情報として示します。未設定でも、それだけで直ちに危険という扱いではありません。設定すると、意図しない認証局からの発行を狭められます。

DNSSEC

Domain Name System Security Extensions

DNSの回答に署名を付け、改ざんに気づけるようにする仕組みです。対応したリゾルバーは、署名が無い回答や、署名が合わない回答を疑います。日本ではまだ広くは使われていません。

ZeroKaiが見るところDSレコードが無く、登録情報でもDNSSECが有効でないとき、参考情報として示します。未設定でも、それだけで直ちに危険という扱いではありません。

メール

Email

差出人と宛先を持ったメッセージを、メールサーバー同士が届ける仕組みです。人が見る差出人の表示と、実際に送信したサーバーは、別々に確認できます。その確認のための公開ルールがSPF、DKIM、DMARCです。

MXレコード

Mail exchange

そのドメイン宛てのメールを、どのサーバーが受け取るかを書いたDNSレコードです。ウェブサイトのアドレスとは別に設定されます。受け取ったあとの中身の判定は、SPFやDMARCの役割です。

なりすまし

Spoofing

別の人が、会社や担当者のふりをしてメッセージやサイトを出すことです。メールでは、受信側がSPF、DKIM、DMARCを見て、表示されている差出人と送信元が揃っているかを判断します。

フィッシング

Phishing

パスワード、支払い、ファイルを渡させるために、信頼できる相手のふりをするメッセージやページです。似たドメイン名を使う方法と、本物のドメインのメール設定が弱い方法は、別の問題です。

ZeroKaiが見るところZeroKaiは会社のメールボックスを読まず、メール内のリンクも開きません。公開されたSPFとDMARCの記録を見ます。

SPF

Sender Policy Framework

Sender Policy Framework。v=spf1 で始まるTXTレコードで、そのドメインのメールを送ってよいサーバーを公開します。受信側は、実際の送信元がこのリストに含まれるかを見ます。レコードは一つにまとめます。複数あると、仕様上エラーになり、認証が働きません。末尾の +all は、どのサーバーからのメールも許可するという意味で、リストが送信元を限定しません。DNSの参照が10回を超えると評価が失敗し、正規のメールまで失敗することがあります。メールを送らないドメインは v=spf1 -all と公開できます。

ZeroKaiが見るところZeroKaiはDNS over HTTPSで、公開されたSPFレコードを読みます。

DKIM

DomainKeys Identified Mail

DomainKeys Identified Mail。送信サーバーがメッセージに署名し、公開鍵をDNSに置きます。受信側は、メッセージが途中で変わっていないか、そのドメインが認めたサーバーの署名かを確認できます。DMARCは、SPFとDKIMの結果を使います。署名の確認は、実物のメッセージを見て初めてできます。

ZeroKaiが見るところ評価が報告するのは、公開されたSPFとDMARCです。メッセージは読まず、DKIMの署名も確認しません。

DMARC

Domain-based Message Authentication, Reporting, and Conformance

_dmarc.example.com に置く、v=DMARC1 で始まるTXTレコードです。人が見る差出人がSPFかDKIMのどちらかと揃えば通り、どちらとも揃わないメールを受信側がどう扱うかを伝えます。p=none は届けたうえで報告を求める、p=quarantine は不審なメールとして扱う、p=reject は拒否する、という意味です。報告の送り先は rua= に書きます。まず p=none で正規メールの認証を見てから、段階的に強くするのが一般的な進め方です。

ZeroKaiが見るところZeroKaiは公開されたDMARCレコードをDNSから読みます。会社宛てのDMARC報告は受け取りません。

トップレベルドメイン

Top-level domain、TLD

名前の末尾の区分です。.jp や .com がこれにあたります。日本では .co.jp のように、その下の区分で会社の名前を登録する形も一般的です。ルールと登録データは、その区分のレジストリが決めます。

レジストラ

Registrar

ドメイン名の登録と更新を受け付ける会社です。料金を払う相手はここであることが多いです。ウェブサイトのホスティング会社や、メールの会社とは別の契約になっていることがよくあります。

レジストリ

Registry

トップレベルドメインの公式な台帳を管理する組織です。どの名前が誰の登録かを、レジストラからの申請に基づいて保持します。.jp のレジストリはJPRSです。

JPRS

日本レジストリサービス

株式会社日本レジストリサービスです。.jp ドメインのレジストリです。日本の会社の名前が .jp や .co.jp で登録されているとき、その台帳の元はここです。

ZeroKaiが見るところ登録データの取得元がJPRSであるドメインでは、その公開情報を読みます。

WHOIS

WHOIS

ドメインの登録データを問い合わせる、長く使われてきた方法です。レジストラ、登録日、有効期限、ネームサーバーが返り、連絡先が含まれることもあります。連絡先は、今は非公開になっていることが多いです。新しい構造化された方法がRDAPです。

ZeroKaiが見るところ評価は、WHOISとRDAPの公開データから登録と期限を読みます。

RDAP

Registration Data Access Protocol

Registration Data Access Protocol。WHOISが返してきた種類の事実を、プログラムが読みやすい形で返す仕組みです。レジストラ、状態、有効期限、ネームサーバーが含まれます。

ZeroKaiが見るところZeroKaiは登録と有効期限を、RDAPとWHOISから読みます。

ドメインの有効期限

Domain expiry

登録期間が終わる日です。期限のあと、レジストリが認める猶予を過ぎると、別の人がその名前を登録できます。ウェブサイトとメールの両方が、新しい登録者の指す先へ向くことがあります。

ZeroKaiが見るところZeroKaiはRDAPとWHOISの登録データから、この日付を読みます。

TXTレコード

TXT record

任意の文字を置けるDNSレコードです。SPF、所有確認、その他のメモが、この同じ種類を使い分けます。意味はレコードの種類ではなく、中に書いてある文字で決まります。

ZeroKaiが見るところSPFの確認と、所有確認のためのTXTを読みます。DMARCは _dmarc という名前のTXTです。

ホスティング

Hosting

ウェブサイトやサービスが動くコンピュータを提供する事業、またはそのコンピュータのことです。名前のレジストラ、メールの会社、ホスティング会社は、三つとも別であることが普通です。

ZeroKaiが見るところIPアドレスについて、公開されているネットワーク情報からホスティングの手がかりを読みます。契約書の確認はしません。

CDN

Content delivery network

コンテンツ配信ネットワーク。訪問者に近い場所からサイトの応答を返す、多数のサーバーの集まりです。DNSの向き先がCDNの名前になり、会社自身のサーバーは後ろに隠れることがあります。

ASN

Autonomous system number

自律システム番号。インターネット上で、自分のIPアドレスの範囲を広報しているネットワークの番号です。クラウド事業者、接続事業者、大きな会社が番号を持っています。アドレスの運営者の手がかりにはなります。その会社と契約している証明ではありません。

RIPEstat

RIPEstat

RIPE NCCが公開している、IPアドレス、経路、どのネットワークがそのアドレスを広報しているか、を調べる情報サービスです。ヨーロッパのレジストリのサービスですが、世界のアドレスについて公開データを返します。

ZeroKaiが見るところZeroKaiはIPアドレスのネットワーク情報にRIPEstatを使います。評価対象のサーバーへは接続しません。

サイバーセキュリティ

Cybersecurity

会社のシステム、名前、情報が、意図しない使われ方や停止をしないようにする仕事です。公開ウェブサイトについては、外からすでに何が見えるかを先に書き出すことが、その仕事の入り口になります。

攻撃対象領域

Attack surface

外からすでに見つけられ、使われるかもしれない名前、アドレス、サービス、設定の集まりです。トップページに加え、別のホスト名、メールのルール、証明書、公開インデックスに残ったサービスが含まれます。把握する、というのは、その一覧を先に持つことです。

ZeroKaiが見るところZeroKaiは公開記録から、この一覧をつくります。

露出管理

Exposure management

露出している資産を、セキュリティ担当者が使える一覧にしておくことです。ドメイン、ホスト名、アドレス、公開データで観測されたサービスが入ります。

ZeroKaiが見るところ評価を実行したときに、この一覧を作ります。詳細は、所有を確認したあとに表示します。

リスクインテリジェンス

Risk intelligence

公開記録に基づいて、どの弱点を先に扱うかを読むことです。順位はセキュリティ担当者のための優先です。システムの内部で被害を測った結果ではありません。

ZeroKaiが見るところ指摘は公開記録から順位を付け、根拠と観測時刻を添えます。CISA KEV、JVN、NVDの一覧は別に参照できます。評価は、それらのCVEを会社の資産へ照合しません。

資産

Asset

この一覧のなかで、組織に属するものです。ドメイン、ホスト名、アドレス、公開データで観測されたサービスが含まれます。画面の「資産」は、この意味で使っています。

ZeroKaiが見るところ資産の一覧は、所有を確認したあとに表示します。確認前は概要です。

ポート

Port

一つのコンピュータの上で、サービスを区別する番号です。ウェブサイトは通常、HTTPSが443、HTTPが80です。遠隔操作、ファイル共有、データベースは別の番号を使います。番号が開いているかは、そのコンピュータに聞いて初めて分かります。

サービス

Service

ポートで待ち受けているプログラムです。ウェブサイト、メール、遠隔操作、データベースがそれぞれサービスです。公開サービスは、インターネットから到達できるもの、または公開インデックスがすでに記録したものを指します。

ポートスキャン

Port scan

たくさんのポートへ接続し、どのプログラムが応答するかを調べることです。対象のコンピュータへ実際に通信します。

ZeroKaiが見るところZeroKaiはポートスキャンをしません。評価対象のサーバーへ接続しません。サービスは、ほかの人がすでに公開インデックスへ記録したものだけを、所有確認のあとに示します。

公開情報

Public records

共有の基盤に聞けば誰でも得られる情報です。DNS、証明書ログ、登録データ、経路情報、Shodanのようなインデックスが含まれます。この集め方はパッシブと呼ばれることがあります。意味は、評価対象のサーバーに触らないということです。確認そのものは、すでに公開されているものを意図して見にいく作業です。

ZeroKaiが見るところZeroKaiが読むのはこの公開情報です。DNSは公開リゾルバーへ聞き、評価対象のサーバーは接続を受けません。

Shodan

Data from Shodan (shodan.io)

インターネットから見えるサービスを観測し、検索できるようにしている外部のインデックスです。過去の観測なので、今の状態と違うことがあります。表示するときは「Data from Shodan (shodan.io)」と出典を示します。

ZeroKaiが見るところ所有を確認したドメインに限り、Shodanがすでに記録した遠隔操作、ファイル共有、データベース、FTPなどのサービスを示します。ZeroKai自身はそのスキャンをしません。

ぶら下がったCNAME

Dangling CNAME。サブドメインの乗っ取り

ホスト名のCNAMEが、DNS上にもう存在しない名前を指している状態です。クラウド上でその宛先を第三者が取得できる場合、会社のホスト名で別のサイトを出されるおそれがあります。これをサブドメインの乗っ取りといいます。実際に取得できるかは、そのクラウドの仕様によります。DNSだけからの推定です。

ZeroKaiが見るところZeroKaiは、宛先が存在しないCNAMEをDNS over HTTPSで見つけたとき、この指摘を出します。乗っ取りが今できると断定はしません。

管理用に見える名前

Sensitive hostname

vpn や admin や staging のように、名前の一部から管理画面、遠隔接続、開発環境を思わせるホスト名です。手がかりは名前だけです。その裏で何が動いているかは、名前からは確定しません。

ZeroKaiが見るところ名前が解決できたものを、参考情報として示します。サイトは開かず、用途の確認もしません。

脆弱性

Vulnerability

ソフトや設定の弱点で、作った人の意図しないことができてしまうものです。公開された脆弱性情報は、その弱点が世界のどこかで知られているという意味です。特定の会社のサーバーが、今それの影響を受けているという証明ではありません。

ZeroKaiが見るところ製品には、CISA KEV、JVN、NVDの公開情報を参照する画面があります。評価は、それらのCVEを会社の資産へは照合しません。脆弱性を使った確認もしません。

CVE

Common Vulnerabilities and Exposures

公になった脆弱性につく識別子です。CVE-2024-12345 のような形で、案内やニュースが同じ問題を指せるようにします。番号があることは、修正が公開されていることも、特定のサーバーが未修正であることも、そのままでは意味しません。

CISA KEV

Known Exploited Vulnerabilities

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁が公開する、悪用が確認された脆弱性の一覧です。実際の攻撃で使われた根拠があるCVEを載せており、出典は CISA Known Exploited Vulnerabilities Catalog です。載っていることは、その会社のサーバーが影響を受けているという意味ではありません。

ZeroKaiが見るところ製品はこの一覧を日次で取り込み、脆弱性情報として参照できます。資産への照合はしません。

JVN

Japan Vulnerability Notes、JVN iPedia

Japan Vulnerability Notes。IPAとJPCERT/CCが関わる、日本の脆弱性情報の公開窓口です。製品が使うのは JVN iPedia を MyJVN API 経由で読む経路で、出典は JVN iPedia via MyJVN API (IPA) です。

ZeroKaiが見るところ脆弱性情報の参照用に取り込みます。評価したドメインのソフトが該当するとは判定しません。

NVD

National Vulnerability Database

米国国立標準技術研究所（NIST）が運営する、脆弱性の公開データベースです。CVEと、その深刻さの情報を収録します。This product uses the NVD API but is not endorsed or certified by the NVD.

ZeroKaiが見るところCVEごとの参照として、必要時にNVDの公開データを読みます。資産への照合はしません。

評価

Assessment

一つのドメインについて、公開記録を集め、確認項目を適用し、見つかったことと未確認のことを並べる一回の作業です。

指摘事項

Finding

確認の一つの結果です。SPFが無い、DMARCが無い、CNAMEの宛先が無い、管理用に見える名前がある、といった項目がそれぞれ一つの指摘になります。観測した内容、出典、次に見るべきことがセットです。CAAやDNSSECのように、参考情報の指摘もあります。参考情報は、直ちに直せという警報ではありません。

根拠

Evidence

指摘の裏にある記録です。DNSの文字、証明書ログの項目、登録データの欄に、出典と観測した日時が付きます。画面の説明と、実際に見えた記録を分けて読めます。

重要度

Severity

指摘を並べるための順位です。情報、低、中、高、緊急の五段階です。公開記録から付けており、システムへ侵入して確かめた被害の大きさではありません。参考情報の指摘も、読む価値はあります。

未確認

Not covered。確認済み / 一部のみ / 未確認

結果の範囲を示す表示です。確認済みは記録を読めたこと、一部のみはその一部であること、未確認はソースが答えなかったか、この製品がその確認をしないことです。未確認は、問題が無いという意味には使いません。

所有の確認

Ownership verification

そのドメインを管理していることを示す手続きです。アカウントのメールアドレスのドメインが一致するか、ZeroKaiが示したDNSのTXTレコードを公開するか、のどちらかです。確認のあと、資産一覧と指摘の詳細を表示します。

ZeroKaiが見るところShodanのサービス観測は、所有を確認したドメインにだけ含めます。確認は、サーバーをスキャンしてよい許可ではありません。評価は確認の後も、対象へ接続しません。

ファイアウォール

Firewall

接続を許可するか止めるかを決めるルールの集まりです。サーバー、社内の境界、クラウドの設定のどこにでも置けます。外から見えるサービスを減らす、基本の手段の一つです。

ZeroKaiが見るところZeroKaiはファイアウォールのルールを試しません。接続を送って、何が止まるかも見ません。

マルウェア

Malware

所有者の意図に反して動くソフトの総称です。データを持ち出したり、迷惑なメールを送ったり、第三者に操作させたりします。

ZeroKaiが見るところ評価はマルウェアの有無を調べません。

ランサムウェア

Ransomware

ファイルやシステムを使えなくし、戻す対価を要求するマルウェアです。インターネットに直接出ている遠隔操作やファイル共有は、入り方として繰り返し報告されています。

アカウント

Account

ログインするための身分です。保護の基本は、他と使い回さないパスワードと、パスワードに次ぐ二つ目の確認です。管理画面に見えるホスト名は、アカウントそのものではありません。

ZeroKaiが見るところZeroKaiはパスワードを見ず、ログインも試みません。

多要素認証

Multi-factor authentication、MFA

パスワードに加えて、別の証明を求める仕組みです。認証アプリのコード、ハードウェアキー、承認の通知などが使われます。パスワードが漏れても、二つ目が無いと入れない状態にするためのものです。

ZeroKaiが見るところサイトで多要素認証が有効かどうかは、評価では確認しません。

パッチ

Patch

ソフトの作り手が公開する、欠陥を直す更新です。CVEが付いた脆弱性の多くには、すでにパッチがあります。番号を知ることと、サーバーにその更新が入っていることを確認することは、別の作業です。

ZeroKaiが見るところZeroKaiはサーバーへログインして、更新の適用状況を見ません。

バックアップ

Backup

障害、操作ミス、ランサムウェアのあとで戻せるように取っておく複製です。同じコンピュータ上にあり、同じパスワードで到達できる複製は、本体と一緒に失われることがあります。戻せる複製は、本体と分けて置きます。

ZeroKaiが見るところ評価はバックアップを調べません。

Cookie

Cookie

サイトがブラウザに預け、あとから送り直してもらう小さなデータです。サインインの維持や、表示の設定に使われます。

ZeroKaiが見るところZeroKaiのサイト自身のCookieは、プライバシーポリシーに書いてあります。評価は、対象サイトのCookieを読みません。