「Webセキュリティ、そろそろちゃんと勉強したい。でも本が多すぎて、最初の一冊が決まらない」。
そんなとき、つい Amazon のレビュー数や新刊の帯で選びがちです。でもレビューが多い本＝自分の最初の一冊、とは限りません。むしろ選択肢が増えて、余計に迷子になります。
先に結論を書きます。**独学の最初の一冊は『体系的に学ぶ 安全なWebアプリケーションの作り方』（通称・徳丸本）**でよいと思います。ただし「みんなが薦めるから」ではありません。理由は、開発者が実際に文章の中で引用している本を数えると、Webセキュリティ本がこの一冊に集中しているからです。
"薦められる本"ではなく、"引用される本"で見る
技術記事を書くとき、人は本当に読んで役に立った本を引用します。そこで、Qiita記事が技術書を引用した回数を集計してみました（同じ記事が同じ本を何度挙げても1と数える、ユニークな記事数です）。
被引用の多い順に並べると、上位6冊はこうなります（2026年8月時点の集計）。
| 順位 | 書籍 | 被引用（記事数） |
|---|---|---|
| 1 | リーダブルコード | 177 |
| 2 | ゼロから作るDeep Learning | 98 |
| 3 | Webを支える技術 | 66 |
| 4 | 達人に学ぶSQL徹底指南書 第2版 | 53 |
| 5 | プロを目指す人のためのRuby入門［改訂2版］ | 49 |
| 6 | 体系的に学ぶ 安全なWebアプリケーションの作り方（徳丸本） | 42 |
面白いのはここです。上位に並ぶのは、言語や設計の"汎用書"がほとんど。そのなかで、純粋なWebセキュリティの本として上位に食い込んでいるのは、徳丸本ただ一冊でした。セキュリティという分野に限れば、頭ひとつどころか、二つ三つ抜けています。
つまり、名前で挙がる候補は毎年入れ替わっても、現場で繰り返し参照される"軸"の本は、静かに一冊に収束しているわけです。最初の一冊を選ぶ、という目的なら、ここに乗るのが手堅い。
なぜこの一冊が"最初"に効くのか
徳丸本が独学で強いのは、攻撃と防御をセットで、手を動かして確かめられるように書かれているからだと思います。「なぜ危ないのか」を自分の環境で再現してから直す。この順番で読むと、個別の脆弱性名を覚える前に、"危なさの直感"が先に育ちます。独学でいちばん折れやすいのは、この直感が無いまま用語だけ増える局面なので、そこを最初に越えられるのは大きい。
二冊目からは、目的で分岐する
最初の一冊を徳丸本に固定したら、次は自分の現場に寄せます。
- Web APIを作るなら → 設計の作法を『Web API: The Good Parts』で。
- 基盤・運用側なら → LinuxやインフラのHTTP/権限まわりを一冊。
- 資格を取りたいなら → 情報処理安全確保支援士は、徳丸本で土台を作ってから問題集へ。用語の暗記から入るより定着します。
一点だけ注意を。この順位は「引用された回数」＝人気や定番の代理指標であって、あなたの目的（診断・開発・資格）に最適だと証明するものではありません。最初の"地図"として使い、二冊目からは自分の道に合わせてください。
出典・最新版：本文の被引用数は、開発者がQiita記事の中で実際に引用した技術書を、記事単位のユニーク数で集計したものです（tasklog）。セキュリティ分野の被引用ランキングは、ここから辿れます。
（集計方法：https://s-tasklog.com/methodology ／ 出典を明記すれば自由に引用できます）
集計元：Qiita記事の技術書引用（ユニーク記事数・2026年8月時点の暫定値）。数値は観測時点のもので変動します。