WEBアクセスで取得できる情報一覧

PHP / Apache で取得できる「アクセスの痕跡」まとめ

WEBサーバーにアクセスがあると、サーバー側では $_SERVER などから さまざまな情報を取得できます。
ここでは「何が取れるのか」「どこまで信用できるのか」を、実用目線でまとめます。

結論（まず重要なこと）

• IPアドレス（REMOTE_ADDR）は最重要（ただしプロキシ・CDNで変わる）
• User-Agent は偽装できる（でも判定材料としては超使える）
• Referer は空のことも多い（プライバシー設定・アプリ・https→http等）
• 本当に危険なのは「URL（リクエストURI）」（攻撃の意図が出る）

取得できる情報一覧（代表）

情報	取得例（PHP）	何がわかる？	信頼性
アクセス元IP	$_SERVER['REMOTE_ADDR']	アクセスしてきた端末（または出口）のIP	高（ただしCDN/プロキシ注意）
アクセス先URL	$_SERVER['REQUEST_URI']	どのパスを狙ったか（攻撃パターンが出る）	高
HTTPメソッド	$_SERVER['REQUEST_METHOD']	GET/POST/HEAD 等。Botや攻撃の特徴が出る	高
User-Agent	$_SERVER['HTTP_USER_AGENT']	ブラウザ/OS/クローラ名	中（偽装できる）
Referer	$_SERVER['HTTP_REFERER']	どこから来たか（検索/リンク元）	低〜中（空が多い）
Host	$_SERVER['HTTP_HOST']	アクセスされたドメイン	中（Host攻撃に注意）
Accept-Language	$_SERVER['HTTP_ACCEPT_LANGUAGE']	端末の言語設定（国推定の補助）	中（偽装できる）
Accept	$_SERVER['HTTP_ACCEPT']	欲しいコンテンツ形式（HTML/JSONなど）	中
接続方式	$_SERVER['HTTPS']	httpsかどうか	高
接続ポート	$_SERVER['SERVER_PORT']	80/443など	高
リモートポート	$_SERVER['REMOTE_PORT']	相手側のポート（基本ランダム）	中（参考程度）
アクセス時刻	time()	いつ来たか（ログの基本）	高

詳細解説（実用ポイント）

1) IPアドレス（REMOTE_ADDR）

サーバーが「接続してきた相手」として認識するIPです。
ログの基点になる最重要情報です。

• ただし Cloudflare / CDN / リバースプロキシを挟むと、ここはプロキシのIPになります
• その場合は X-Forwarded-For や CF-Connecting-IP が必要になります（※設定次第）
• 攻撃者はプロキシを使うので「毎回IPが変わる」ことは普通にあります

2) リクエストURI（REQUEST_URI）

アクセスされたパス＋クエリです。
攻撃者の意図が一番出るのがここです。

• /wp-login.php → WordPress狙い
• /.env → 環境変数ファイル狙い
• /phpMyAdmin/ → DB管理画面狙い
• ?id=1 OR 1=1 → SQLインジェクション

3) HTTPメソッド（REQUEST_METHOD）

GET が普通ですが、攻撃やスキャンでは POST や HEAD が増えます。
404監視（ハニーポッド）では特に重要です。

4) User-Agent（HTTP_USER_AGENT）

ブラウザやBotの名乗りです。偽装できます。
ただし偽装しても「癖」は出るので、判定材料としては超強いです。

• Googlebot は名乗るだけなら誰でもできます
• 本物かどうかは PTR（逆引き）＋正引きで確認します
• あなたのサイトのようにRDAPやPTRを扱うなら、ここは非常に価値があります

5) Referer（HTTP_REFERER）

どこから来たかの情報です。
ただし「空」のケースが多いので、これだけで判断しない方が安全です。

• ブラウザ設定やアプリ経由だと送られないことが多い
• https → http の遷移では落ちることがある
• 偽装も可能

6) Host（HTTP_HOST）

リクエストされたドメイン名です。
これは普通は自サイトのドメインですが、攻撃では変なHostが来ることがあります。

• Hostヘッダー攻撃対策で、想定外のHostは弾くのが安全です
• ただしレンタルサーバー環境だと挙動が複雑なことがあります

7) Accept-Language（HTTP_ACCEPT_LANGUAGE）

端末の言語設定です。
GeoIPが微妙な時の「補助材料」になります。

• 例：ja-JP,ja;q=0.9,en-US;q=0.8
• 海外IPなのに ja-JP なら「VPNや日本人の可能性」もあります
• ただし偽装可能なので、決め打ちは危険です

「取得できそうで取得できない」情報

• 個人名：取れません
• 住所：取れません
• 正確な位置：取れません（GeoIPは推定）
• 端末の中の情報：取れません（JSを使っても限界あり）

実用メモ：ログに残すべき最小セット

あなたの404監視（Watch404）用途なら、最低でも以下を保存しておくと後で困りません。

• timestamp（UNIX秒）
• REMOTE_ADDR
• REQUEST_METHOD
• REQUEST_URI
• HTTP_USER_AGENT
• HTTP_REFERER（あれば）

まとめ

WEBアクセスで取得できる情報は「犯人特定」ではなく、
アクセスの特徴を掴むための材料です。
特に REQUEST_URI と User-Agent は、攻撃やBotの傾向を知るのに強力です。

---