名古屋でAIシステムの開発をしている小嶋です。ここ最近、いろいろな企業のホームページを、当社の診断システムでSEO（Google検索）・AEO（AIの回答に引用されるか）・GEO（AI検索に読まれるか）の3つの面から見てきました。
見ていて強く感じるのは、デザインはきれいに仕上がっているのに、見てほしい人に届く仕組みがきちんと作られているサイトがほとんどない、ということです。それで問い合わせや採用の機会を逃している会社が多いと感じています。そして、集客の仕組みが弱いサイトは、たいてい守りの仕組みも弱いのです。
感覚で言うだけでは説得力がないので、今日あらためて、愛知の中小企業21社のホームページを同じ条件で診断し、数字にしました。
調べ方
- 対象：Xで「#企業公式相互フォロー」などの企業アカウントの集まりから見つけた、愛知の中小企業21社の公式ホームページです。製造業、食品、印刷、不動産、IT、タクシー、飲食など。Xで発信に力を入れている会社なので、ふつうの中小企業よりは、ホームページにも気をつかっている側だと思います。
- 集客の診断：当社の「Kurage Track & GEO & SEO」で、トップページと中のページを最大5ページ読み、SEO・AEO・GEOをそれぞれ100点満点で採点しました。採点はすべて決まった規則による機械的な判定で、生成AIの好みは入りません。
- 安全面の確認：トップページの応答を受け取り、外から見える設定を確かめました。サイトを攻撃するような検査は一切していません。
- 確かめ直し：診断システムが「サイトマップがない」と判定した7社のうち5社は、実際にはサイトマップがありました。WordPressのプラグインが作る形式を、当社のシステムが読み取れていなかったためです。この記事では、手で確かめ直した数字を使います（当社のシステムの側は直します）。
- 会社名は出しません。数字はすべて21社の集計です。
結果1：SEOの基本はできている。でも、AIへの対応はどこもできていない
- SEO（Google検索）：中央値80点。70点以上は21社中13社
- AEO（AIの回答への引用）：中央値40点。70点以上は20社中0社
- GEO（AI検索に読まれるか）：中央値66点。70点以上は20社中9社
（AEO・GEOは、トップページがエラーで読めなかった1社を除く20社）
SEO・AEO・GEOの3つとも70点以上のサイトは、0社でした。 3つとも60点以上でも2社だけです。
SEOは、中央値80点と悪くありません。WordPressとSEOのプラグインを入れているサイトが多く、題名や説明文の最低限は入っています。
一方で、AEOは70点を超えたサイトが1つもありませんでした。AEOで見ているのは、「〇〇とは〜です」という定義の文があるか、「よくある質問」と短い答えがあるか、根拠や出典が書かれているか、といった点です。ChatGPTやGoogleのAIによる概要が、そのページの文を引用して答えに使えるかどうかです。デザインがどれだけきれいでも、AIにとって引用しやすい文の形になっていなければ、AIの答えには出てきません。
これが集客にどう効くか
AIの答えに出てこないことは、今では集客に直接効きます。
検索ツール会社Ahrefsの調査では、日本でGoogleのAIによる概要が表示される検索では、検索1位のページのクリック率が62.7%下がり、実際のクリック率は9.0%でした（2026年6月時点、情報を調べる検索で比較）。検索で1位を取っても、AIが答えを先に出してしまえば、10人に1人しかページに来ません。
そうなると、AIの答えの中に自社の名前と説明が出てくるかどうか、が新しい入口になります。SEOだけを見ていては、もう足りません。
結果2：見た目では気づけない「技術の抜け」がそろって並ぶ
21社に多かった指摘を並べます（手で確かめ直したもの）。
- 題名が長く、検索結果で後ろが切れる：10社
- 構造化データ（検索エンジンやAIに会社の情報を伝える決まった書式）がない：9社
- 正規のURLの指定（canonical）がない：7社
- 画像に説明文（alt）がない：7社
- Xなどに貼ったときのカード（OGP）がない：6社、一部が欠けている：7社
- 見出しの一番上（h1）がない：5社
- robots.txtがない：4社
- サイトマップが本当にない：2社
- トップページがエラー（HTTP 500）で表示されない：1社
どれも、画面を見ているだけでは気づけないものばかりです。見た目は完成しているのに、検索エンジンやAI、SNSから見ると「名札のない店」になっています。
特にOGPは分かりやすい例です。OGPがないと、社員がXやLINEで自社のページを紹介しても、画像の出ないただの文字のリンクになります。Xに力を入れている会社なのに、自社のサイトのリンクだけ見栄えがしない、ということが起きていました。
結果3：守りの設定は、ほとんどが手つかず
トップページの応答から、外から見える設定を確かめました。
- 14社がWordPressで作られていました。
- ブラウザに守り方を指示する設定：
- 不正なスクリプトの読み込みを防ぐ設定（Content-Security-Policy）：21社中0社
- 必ずhttpsで開かせる設定（HSTS）：21社中2社
- 他のサイトに画面を埋め込ませない設定（X-Frame-Options）：21社中2社
- サポートの切れたPHPの版が、外から見える状態：1社。この版には、10月21日に公開されたPHPの重大な脆弱性「PHP2Shell」の公式な修正が出ません。
- 古いWordPress本体：1社が、5系の古い版のままでした（最新は7系）。
- 既知の脆弱性がある古い版のjQuery（ブラウザで動く部品）：4社。2.x系が2社、3.4.1が2社です。
- httpのまま、httpsに切り替わらない：1社
ここで挙げた設定は、どれも外から見えるものです。言いかえると、攻撃する側も同じものを見ています。版の番号が見えると、「この版にはこの穴がある」と狙いを付けやすくなります。
なぜこうなるのか：デザインと技術が分かれて作られている
ホームページは、本来はデザイナーと技術者が組んで作るものだと考えています。
- デザイナー：見た目、読みやすさ、ブランドの伝わり方
- 技術者：検索エンジンやAIへの伝え方（構造化データ、題名、正規のURL、サイトマップ）、表示の速さ、そして守り（版の更新、守りの設定、プラグインの管理）
21社の結果を見ると、前者はできているのに、後者が抜けているサイトがほとんどでした。成果物を見る限り、両方がそろった体制で作られたサイトは、ごく少ないように見えます。
そして、作ったあとの更新が誰の仕事にもなっていないことも多いようです。WordPressは、本体もプラグインもPHPも、作ったあとに更新し続けないと、時間とともに穴が増えていきます。古い版のjQueryやPHPが残っているのは、その表れです。
AIで「それらしい」サイトが作れる時代の落とし穴
最近は、AIを使えば、それなりの見た目のサイトがすぐに作れます。デザインの質は、もう低くありません。私自身も、仕事のほとんどをAIと一緒にやっています。
問題は、見た目が整って見えるぶん、中の技術の誤りに気づきにくいことです。AIで作られたサイトやアプリの安全面については、すでに調査や事件が出ています。
- AIでアプリを作るサービス「Lovable」で作られたアプリでは、データベースの権限の設定の不備（CVE-2025-48757）が見つかりました。調べられた1,645件のうち170件（10.3%）で、メールアドレスや電話番号、APIキーが外から読める状態だったと報告されています。
- AIで作られて公開された200件のアプリを調べたところ、約9割に脆弱性があった、という調査も国内で紹介されています。
AIは、頼まれたことはそれらしく作ってくれます。ただ、「誰がどのデータを見てよいか」「どの版を使うと危ないか」「検索エンジンやAIにどう伝えるか」は、頼む側が分かっていないと、抜けたまま公開されてしまいます。AIでホームページが作れるだけの人が、誤った技術でサイトを作ってしまう例は、これから確実に増えると思います。
コストを理由に、守りが後回しになっている
もう一つの理由は、お金です。
IPA（情報処理推進機構）が中小企業4,191社に聞いた調査（2024年度）では、次のような結果が出ています。
- 組織的な情報セキュリティの対策をしていない企業：約7割
- 過去3年間、セキュリティに投資していない企業：約6割。一番多い理由は「必要性を感じない」（44.3%）
- 被害に遭った企業の被害額：平均73万円、最大で1億円
- 不正アクセスを受けた企業の約5割は、脆弱性を突かれていた
- 被害が取引先にまで及んだ企業：約7割
ウェブ全体で見ても、古い版は大量に残っています。調査会社W3Techsによると、PHPで動くサイトのうち、PHP 7は29.4%、PHP 5は8.0%です（2026年8月）。これらの版には、PHP2Shellの公式な修正が出ません。
高い技術力が必要な仕事なのに、コストがネックになって、技術のある人に頼まないまま公開し、そのまま何年も更新されない。その結果、集客の機会を逃し、同時に攻撃される入口も残してしまう。21社の診断結果は、そういう状態がめずらしくないことを示していると思います。
では、どうすればよいか
- デザインと技術を、両方そろえて頼む：見積もりのときに、構造化データ、OGP、サイトマップ、守りの設定、作ったあとの更新を、だれがやるのかを確かめてください。
- 作ったあとの更新を、誰かの仕事にする：WordPressの本体、プラグイン、PHPの版は、定期的に更新が必要です。
- AIに引用される文を書く：「〇〇とは」の定義、よくある質問と短い答え、数字の根拠。デザインを変えなくても、文章を足すだけで点数は上がります。
- 一度、診断にかけてみる：まず自社のサイトがどの状態かを知ることが出発点です。
技術のある人がAIを使えば、デザインと技術の両方を、以前よりずっと短い時間とお金で仕上げられます。高い技術を安く使えるようにすることが、AIの一番いい使い方だと考えています。
よくある質問
SEOとAEOとGEOは、何が違いますか
SEOは、Googleなどの検索結果で上に出るための対策です。AEOは、ChatGPTやGoogleのAIによる概要が答えを作るときに、自社のページの文を引用してもらうための対策です。GEOは、AI検索の仕組みが自社のサイトを読み、内容を正しく理解できる状態にするための対策です。
デザインが良ければ、集客はできるのではないですか
デザインは、来てくれた人に信頼してもらうために大切です。ただ、そもそも来てもらうためには、検索エンジンやAIに内容が正しく伝わる作りが必要です。今回の21社でも、見た目は整っているのにAEOは全社70点未満でした。
WordPressなら安全ではないのですか
WordPressの本体は更新が続いていますが、作ったあとに本体やプラグイン、PHPの版を更新しないと、古い穴が残ります。今回も、古い版のWordPressや、サポートの切れたPHP、既知の脆弱性がある古い部品が残っているサイトがありました。
中小企業でも、守りの設定は必要ですか
必要です。IPAの調査では、不正アクセスを受けた中小企業の約5割が脆弱性を突かれていて、約7割は被害が取引先にまで及んでいます。会社の規模に関係なく、機械的に穴を探して攻撃されます。
当社では、ホームページの点検と作り直し、Xの運用を、AIを使って短い時間で進める顧問をしています。
AI-SNS顧問（Xとホームページ） https://exbridge.jp/ai-sns-komon.html#ref=vibeblog-hp21
AI-IT顧問（社内の業務システムとホームページの点検） https://exbridge.jp/ai-it-komon.html#ref=vibeblog-hp21
SEO・AEO・GEOの診断（Kurage Track & GEO & SEO） https://proto.exbridge.jp/ktrackgeoseo/ktrackgeoseo.php#ref=vibeblog-hp21
