検査対象となるWebアプリケーションがクラウド事業者が提供するWebサーバーにある場合、脆弱性検査に先立って、クラウド事業者に事前申請が必要となる場合があります。
以下に主要クラウド事業者のポリシーをまとめました。
なお、以下の情報は2025年11月4日現在の情報となります。
【Amazon Web Services】
侵入テスト - AWS クラウドセキュリティ | AWS
AWS のお客様は、「許可されたサービス」の下の次のセクションに記載されているサービスについて、事前の承認なしに AWS インフラストラクチャのセキュリティ評価またはペネトレーションテストを実行できます。
AWSの場合、脆弱性テスト／侵入テストを行う場合は事前申請が不要になりました。ただし、いくつか注意事項の記載がございますので、AWSをご利用のお客様は上記ページの記載内容をご確認ください。
診断が許可されているサービスは限定されていますので、AWSドキュメントをご確認ください。
【Microsoft Azure】
As of June 15, 2017, Microsoft no longer requires pre-approval to conduct a penetration test against Azure resources.
2017年6月15日現在、マイクロソフトはAzureのリソースに対する侵入テストを実施するための事前承認を必要としません。
上記のように「侵入テスト（a penetration test）」については申請不要のようです。ただ、VAddyの検査は「侵入テスト（a penetration test）」というよりは「脆弱性検査（Vulnerability test / scanning）」の属するものなので、念のためご確認ください。
【Google Cloud Platform（GCP）】
Google Cloud Platform のセキュリティを評価するためにペネトレーション テストを行う際に、Google へ連絡する必要はありません。
Azure同様こちらも上記のような記載がありますが、VAddyはGCPのセキュリティを評価するためのテストではなく、GCP上で動いているWebアプリケーションの脆弱性を検査するものなので、こちらも念のためご確認ください。
【IDCFクラウド】
検査時のトラフィックが数百Mbpsを超えることが見込まれる場合を除き、原則として事前申請は不要です。VAddyの検査ではこれほどのトラフィックは発生しませんので、事前申請無しでVAddyでの脆弱性検査を走らせることができます。
【さくらクラウド】
負荷テストや脆弱性診断の実施に関しまして事前の連絡は不要で実施可能です。ただし、負荷テストや脆弱性診断などによって他のお客様への影響やサービス継続に支障があると判断された場合には、制限等を実施させていただく場合がございます。
ということで、こちらもVAddyを利用する際の事前申請は不要です。
https://manual.iij.jp/p2/pub/g-1.html#other_test_application
脆弱性検査の実施についての規定が見つからなかったので、サポートに問い合わせたところ、以下のような回答をいただきました（即日回答！）。転載許可をいただいていますので、以下に転載させていただきます（2017年6月27日時点）
明確に規定はございません。脆弱性検査や負荷試験は、基本的に申請などは不要です。ただし、弊社が「外部からの攻撃」「異常な振る舞い」（主に負荷）と判断した場合、他のお客様を守ることを目的としてサービス提供に制限（通信制限や停止）することや、契約者様に確認をさせていただく可能性がございます。
ということで、こちらもVAddyを利用する際の事前申請は不要です。
【ConoHa】
ConoHaさんもサポートから以下のような回答をいただきました（2017年6月28日時点）。こちらもブログへの転載は快諾をいただいております。
お問い合わせの件につきまして、ConoHaにおきましては脆弱性診断における事前申請の必要はございません。
お客様のご任意で行っていただいて問題ございませんが、検査に起因して他のお客様への影響が懸念される負荷等が発生した場合はサービスの制限を実施させていただく可能性がございますこと、あらかじめご了承ください。
負荷等によりサービスの制限となる可能性もございますため、事前に弊社へお知らせいただくことで何か問題が発生した際の対応を円滑することは可能となります。
ということで、こちらもVAddyを利用する際の事前申請は不要です。
https://www.alibabacloud.com/help/ja/security-control/latest/2d3d9b
Alibaba Cloudさんはサポートから以下のような回答をいただきました（2018年10月23日時点）
こちらも転載許可をいただいておりますが、変更される場合がございます。
Alibaba Cloudでは、侵入テスト（SQLインジェクション、XSS等）の実施にあたり事前申請を頂いております。
侵入テストの申請方法につきましては、
アカウントをご登録後、Alibaba Cloudコンソールにログインいただき、
専用の申請ページよりご申請いただく形となります。
テストの対象は、アカウントが所有するリソースに対してのみとなっており、
侵入テスト申請はテスト対象リソースを所有するアカウントによって実施される必要がございます。
・侵入テストの申請 ※申請にあたりコンソールログインが必要となります。
例といたしまして、弊社、仮想サーバプロダクトであるECS上にWEBアプリを構築し、
脆弱性診断、侵入テストを実施したい場合、このECSに対して、コンソールの申請ページよりご実施いただくテスト内容踏まえ事前テスト申請をいただく流れとなります。
・Elastic Compute Service (ECS)
【Vercel】
https://vercel.com/kb/guide/penetration-testing-on-vercel
Who can perform penetration testing?
Penetration testing is authorized for both Pro and Enterprise customers.This is not permitted for Hobby users. For more information, please consult our Fair Use Guidelines.
What can you test?
Pro and Enterprise customers are permitted to test their own applications hosted on Vercel. However, customers must not target the underlying hosting infrastructure and platform.Vercel performs continual security assurance activities against our underlying platform, including penetration testing. Recent pentest reports are available to our Pro and Enterprise customers at https://security.vercel.com.
侵入テストは誰が実施できますか？
侵入テストは、ProプランおよびEnterpriseプランのお客様両方にご利用いただけます。これは趣味目的のユーザーには許可されていません。詳細については、当社のフェアユースガイドラインをご覧ください。
何をテストできますか？
ProおよびEnterpriseのお客様は、Vercel上でホストされている自社アプリケーションのテストを行うことができます。ただし、お客様は基盤となるホスティングインフラストラクチャおよびプラットフォームを標的としたテストを行ってはなりません。Vercelは、侵入テストを含む、基盤となるプラットフォームに対する継続的なセキュリティ保証活動を実施しています。最新の侵入テストレポートは、ProおよびEnterpriseのお客様向けにhttps://security.vercel.comで公開されています。
ProプランおよびEnterpriseプランであれば、VAddyを利用する際の事前申請は不要です。
Hobbyプランについては、許可されていないようです。
Vercel WAF bypass
We recommend that you set any IP addresses used for penetration testing to Bypass in your project's WAF configuration to ensure no other user-configured rules block the testing activity.
またVercelでは標準でWAFが備わっており、IP Bypassに関する設定を行うことで診断の途中でブロックされることを防げるようです。