アップロードファイルの
ウイルスチェックを、API ひとつで
ファイルを送ると ClamAV で検査し、結果を JSON で返します。国内で処理し、検査が終わったファイル本体は削除します。
Security質問票に、根拠をもって答えられます
セキュリティチェックシートによくある設問と、malcheck を使った場合の回答例です。
| よくある設問 | malcheck が実施すること | お客様側で実装すること | 回答例 |
|---|---|---|---|
| アップロードファイルのウイルスチェックを実施しているか | 受け取ったファイルを ClamAV で検査し、結果を返す | 対象ファイルを公開・利用前に漏れなく送る。結果が返るまで公開しない | 対象となるアップロードファイルを公開・利用前に malcheck へ送信し、ClamAV で検査しています |
| 検査エンジンと定義の更新頻度 | ClamAV。定義は毎時更新を確認して反映 | — | ClamAV を利用し、ウイルス定義は毎時更新を確認して反映しています |
| ファイルはどこに保存されるか | 国内（東京）のサーバーで処理。検査後にファイル本体を削除 | 送るファイルの範囲を決める | 検査は国内のサーバーで行い、ファイル本体は検査後に削除されます |
| 何が残るか | サイズ・ハッシュ・判定結果・URL（URL 指定時）・任意の meta を記録。本体とファイル名は残らない | URL や meta に機密を含めない | ファイル本体とファイル名は保存されず、ハッシュ・判定結果などの記録のみが残ります |
| 国外でデータを取り扱うか | 検査は国内で処理。エラー監視に Sentry、登録・通知メールに Mailgun（いずれも米国）を利用。ファイル本体はどちらにも送らない（扱うデータは セキュリティ情報 の再委託先一覧に記載） | — | 検査は国内のサーバーで行われます。再委託先（Sentry・Mailgun）にファイル本体は送られません |
| 接続先を IP で制限できるか。Webhook の送信元 IP は公開されているか | 接続先・接続元とも固定 IP。IP アドレス一覧で公開し、変更は 30 日前に通知 | 送信プロキシ・受信側で IP を制限する | 検査 API の接続先と結果コールバックの送信元は公開された固定 IP で、IP で制限しています |
| ウイルスが見つかった・検査できなかったときの扱い | 検出時は dirty と検出名、暗号化 ZIP・展開上限超過は unscannable、検査できなかった場合は error（HTTP 502 / 503）を返す | clean 以外は保存・公開しない | 検出されたファイルおよび検査が完了しなかったファイルは保存・公開しない設計にしています |
国内で処理
東京のサーバーで検査します。検査処理を国外に出すことはありません。
検査後にファイル本体を削除
一時領域に置いて検査し、完了後に削除します。ファイル本体は保存しません。
他社の解析サービスへ送らない
自前の ClamAV だけで検査します。VirusTotal のように検体が第三者に共有されるサービスへファイルを送ることはありません。
通信は HTTPS のみ
API・管理画面ともに HTTPS 以外では接続できません。
残るのはスキャン履歴だけ
サイズ・ハッシュ・判定結果・URL・meta を履歴として保存します。ファイル名は保存しません。
※ URL や meta に機密を含めない運用を推奨します
ログの保持期間
アクセスログ 90 日、スキャン記録 1 年、エラーログ 90 日。詳細はセキュリティ情報に記載。
clean は「検出なし」であって安全の保証ではありません。検査できなかった場合は通さない設計を推奨します。
Integration組み込み方と仕様
| 送り方 | ファイル実体（multipart）または URL 指定 |
|---|---|
| 受け取り方 | 同期（レスポンスで結果）または非同期（callback_url に POST） |
| ファイルサイズ上限 | 30MB |
| 同期の応答目安 | サーバー側の処理は小さいファイルで 1 秒未満、25MB のファイルで約 2〜3 秒。実際の応答時間はこれに送信側のアップロード時間が加わります |
| 検査エンジン | ClamAV。定義は毎時更新を確認して反映 |
レスポンスの status | clean（検出なし） / dirty（検出あり。found に検出名） / unscannable（暗号化 ZIP・展開上限超過で検査できず。found に理由） / error（URL 取得失敗・エンジン障害。HTTP 502 / 503、message に理由） |
| レスポンスが返らない場合 | タイムアウト時は結果が返りません（非同期ではコールバックが届きません）。検査未完了として扱ってください。clean 以外は通さない設計を推奨します |
| 認証 | チームごとのトークン。登録後すぐ発行 |
| IP アドレス | 接続先・接続元とも固定（IPv4）。一覧と ips.json で公開。変更は 30 日前に通知 |
curl https://malcheck.com/api/scan \
-F token=YOUR_TOKEN \
-F file=@upload.pdf
{
"data": {
"name": "upload.pdf",
"size": 482113,
"sha256": "275a021b...",
"version": "1.4.x",
"found": null,
"status": "clean"
}
}
Plan料金・契約条件
スタンダード
- 月 10,000 件まで
- 月契約・年契約のどちらも可
- クレジットカード・請求書払い（銀行振込）に対応
- 超過しても自動で請求は増えません
超過したとき: 自動で請求が増えることはありません。月 10,000 件を超える月が続く場合は、こちらから連絡して上位契約を相談します。切り替えまでの超過分は請求しません。
契約期間と解約: 月契約はいつでも解約でき、現在の請求期間の末日で終了します。年契約は最低利用期間 12 ヶ月で、途中解約の返金はありません。どちらも日割り返金はありません。
支払い: クレジットカード、または請求書払い（銀行振込。支払期限は請求書発行日から 30 日）。月契約・年契約のどちらでも選べます。見積書・適格請求書を発行できます。
Company運営・実績・サポート
FAQよくある質問
- 質問票で特定のエンジンやサンドボックス検査が指定されている場合も使えますか?
malcheck の検査は ClamAV によるシグネチャ検査です。エンジン指定やサンドボックス検査が必須の要件には適合しません。設問の条件をお送りいただければ、適合するかを回答します。
- 暗号化 ZIP や圧縮ファイルは検査できますか?
パスワード付きの暗号化 ZIP は中身を検査できないため、
unscannable（理由Heuristics.Encrypted.Zip）として返します。圧縮ファイルは展開して検査しますが、展開サイズ・ファイル数・階層に上限があり、超えた場合もunscannableになります。unscannableは通さず、暗号化を解く・分割するよう利用者に案内する設計を推奨します。
- 検査できなかった場合はどうすればよいですか?
タイムアウトやエラーで結果が返らなかったファイルは、通さずに再検査するか保留にしてください。「検査できなければ通さない」設計を推奨します。
- 自社のセキュリティチェックシートに記入してもらえますか?
設問をテキストでお送りいただければ、malcheck に関する回答文を表形式のテキストでお返しします。ファイルへの記入はお客様側でお願いしています。契約検討中でも対応します。
- 請求書払いはできますか?
はい。月契約・年契約のどちらでも、請求書（銀行振込）でお支払いいただけます。見積書・適格請求書も発行できます。
- 月 10,000 件を超えたらどうなりますか?
自動で請求が増えたり、検査が止まったりすることはありません。超える月が続く場合はこちらから連絡し、上位契約を相談します。
- 他のウイルスチェックサービスとの違いは?
VirusTotal・Cloudmersive・OPSWAT MetaDefender Cloud・attachmentAV・Amazon GuardDuty Malware Protection for S3・Microsoft Defender for Storage・自前の ClamAV と malcheck を、検出エンジン・価格・商用利用の条件・処理場所・ファイルの保持・検体の外部共有・呼び出し方法・契約言語と請求書払いの 8 項目で並べた比較表を公開しています。各欄に公式ページの出典と確認日を付け、malcheck が向かないケースも書いています。
- 自分で ClamAV を建てるのと何が違いますか?
ウイルス定義の更新と更新失敗の監視、定義ロード用のメモリ（1GB 超）、エンジンのバージョン追従を malcheck 側で行います。アプリ側は API を呼ぶだけで、スキャン用サーバーの運用が不要になります。
- ファイル名や meta に個人情報が含まれる場合は?
ファイル名はレスポンスに返すだけで保存しません。URL・meta は記録として保存されるので、個人情報や機密を含めない運用を推奨します。保存項目と保持期間はセキュリティ情報に記載しています。
まずは無料で試してみましょう
登録は 1 分、クレジットカード不要。累計 100 件まで本番と同じ検査を無料で使えます。
導入前の相談・見積もりもお気軽にどうぞ。