会社のサーバー・ドメイン・セキュリティの基礎：選び方・移転・更新・トラブル対応のまとめ

会社のホームページを動かし続けるには、サーバー、ドメイン、SSL証明書、メール、WordPressとPHPの更新など、いくつもの契約と設定が関わります。担当者の退職や制作会社との契約の終了、PHPのサポート期限の案内、サイトの改ざんなどをきっかけに、誰の名義で何を管理しているのかが分からないと気づく会社は少なくありません。

結論から言うと、会社のサーバー・ドメイン・セキュリティは、名義を自社にそろえ、期限を台帳で管理し、更新とバックアップの担当を決めたうえで、選ぶ・移す・更新する・守る・メール・ドメイン・困ったときの段階ごとに決めることを片づけていくと、無理なく管理できます。

この記事では、段階ごとに決めることとよくある失敗をまとめ、詳しい手順を解説した記事へ案内します。やりたいことから記事を探せる表と、年に1回の確認表も載せています。サーバーの例には当社のサイトも運用しているエックスサーバーを使い、料金と仕様は2026年10月時点の公式ページの記載（税込）です。

やりたいことから読む記事を選ぶ

サーバー・ドメイン・セキュリティの作業は、やりたいことによって読む記事と手間が決まるため、次の表で今の状況に近い行から読み始めてください。

手間の目安は、小＝管理画面での確認が中心、中＝バックアップやテストと切り替え後の確認が必要、大＝サイト・メール・DNSなど複数の契約にまたがる、の3段階です。当社の料金は税別です。

選ぶ：サーバーは「名義・メール・体制」で決める

会社のサイトのサーバーは、月額の安さより先に、会社の名義で契約できるか、メールを同じサーバーで使うか、稼働率の保証や代行など誰が何を受け持つかで選びます。

この段階で決めることは、契約の名義、サービスとプラン、契約期間です。名義は、作業を制作会社に任せる場合も自社にしておくと、制作会社を変えてもサーバーをそのまま使えます。確認する基準の一覧は法人のレンタルサーバーの選び方、サーバーの役割からはホームページのサーバーの選び方で解説しています。

よくある失敗は、安さだけで選んで後からメールが使えないと分かる、制作会社の名義のまま契約を終えて移転が必要になる、必要以上に自由度の高いVPSを選んでOSやPHPの更新まで自社で抱える、の3つです。中小企業のコーポレートサイトの多くは共用のレンタルサーバーで足ります。VPSが必要になる場合はレンタルサーバーとVPSの違いで解説しています。

エックスサーバーには、エックスサーバー、法人向けのXServerビジネス、WordPress専用のXServer for WordPressがあります。XServerビジネスは全プランで月間稼働率99.99%以上を保証し、下回ると稼働率に応じて月額の10〜100%を返金する制度があり（品質保証制度）、サーバー移転代行もサーバーアカウントにつき10件まで無料です。XServer for WordPressはメールアカウントを作れないため、会社のメールを同じサーバーで使う場合には向きません（XServer for WordPress）。違いはエックスサーバーの3つのサービスの違い、質問に答えて決める方法はエックスサーバーのプランの選び方にまとめています。

費用は初期費用を含めた契約期間の総額で比べ、支払いは契約期間分の一括前払いです。たとえば、XServerビジネスの共有サーバー スタンダードを36か月で契約すると、月額3,762円×36か月＝135,432円に初期費用16,500円を足して151,932円です（通常料金・税込。キャンペーンは含めていません。XServerビジネスの料金）。ほかのプランと付帯費用はレンタルサーバーの3年総額の試算、ドメインや保守を含む年間の費用はホームページの維持費で確認できます。

移す：移転元の契約を残したまま、最後にDNSを切り替える

他社のサーバーから移るときは、移転元の契約を残したまま新しいサーバーにサイトとメールを用意し、表示を確かめてから最後にネームサーバーを切り替えると、止めずに移れます。

この段階で決めることは、始める時期、サイトとメールの移し方、DNSを切り替える担当者です。エックスサーバーの公式の手順でも、移転元の契約に1ヶ月以上の余裕を持ち、期間を重ねて移るよう勧めています（サーバー移転の手順）。サイトは「WordPress簡単移行」（WordPress 4.2〜7.1、PHP 7.2以上が条件）、手動、移転代行のいずれかで移します。エックスサーバーの移転代行は1サイト33,000円（ビジネスプランは初回無料）で、動作確認とネームサーバーの変更は含まれません（サーバー移転代行）。

よくある失敗は、契約満了の直前に始めて確認の時間が足りなくなる、メールの段取りを忘れる、ドメインの移管と同時に進める、の3つです。過去の受信メールはサーバー間で引き継げず、切り替え中の数時間〜24時間程度は新旧どちらで受信するか分からないため、両方で受信できるようにします。移管の申請中はネームサーバーを変えられず、移管には7〜10日程度かかるため、期限に余裕があればサーバーの移転を先に済ませます。

手順は他社サーバーからエックスサーバーへの移行手順、サーバー会社に関係なく必要な手順と失敗例はWordPressのサーバー移転（引っ越し）手順で解説しています。すでにエックスサーバーやXServerビジネスを使っている場合は、移転の必要はありません。

更新する：PHPとWordPressはサポート期限から逆算する

PHPとWordPressは、サポート期限から逆算して日程を決め、バックアップとテストのあとに切り替え、不具合が出たら元に戻せる状態で更新します。

この段階で決めることは、いつまでにどのバージョンにするか、誰がテストと切り替えを行うか、戻す手順です。PHP 8.2のセキュリティサポートは2026年12月31日まで、8.3は2027年12月31日までで（PHPのサポート期限）、WordPressはPHP 8.3以上を推奨しています（WordPressの動作環境）。エックスサーバーでは「PHP Ver.切替」でドメインごとに変えられ（マニュアル）、動いているサイトのPHPは自動では変わりません（お知らせ）。

よくある失敗は、本番でいきなり切り替えて表示が崩れる、プラグインやテーマが新しいPHPに対応しているかを確かめていない、更新を止めたまま放置する、の3つです。期限までの計画はPHP 8.2のサポート終了への対応、操作と戻し方はエックスサーバーのPHPバージョン変更の手順、各バージョンの期限はPHPのバージョンアップ手順とサポート期限、放置で起きることはWordPressを更新しないとどうなるかで解説しています。

守る：更新・ログイン保護・バックアップを先にそろえる

セキュリティ対策は、更新、ログインの保護、バックアップを先にそろえ、そのうえでWAF、改ざん検知、管理画面の接続元の制限を重ねてリスクを下げます。

この段階で決めることは、優先順位と分担です。アカウントの整理やパスワードの管理は社内で、サーバーの設定や更新の検証は専門家に任せると続けやすくなります。優先度つきの項目はWordPressのセキュリティ対策チェックリストにまとめています。

エックスサーバーでは、サーバーパネルでWAF（XSS・SQLインジェクションなど6項目）を設定でき、「WordPressセキュリティ設定」の国外アクセス制限とログイン試行回数制限は初期状態でONです（WAF設定・WordPressセキュリティ設定）。ただし、公式もWAFで不正アクセスを100%防ぐことは保証しないとしており、更新の代わりにはなりません。脆弱性診断と改ざん検知の「XServer サイトセキュリティ」は、エックスサーバーのプレミアムプラン・ビジネスプランと、XServerビジネスの全プランに無料で付きますが、エックスサーバーのスタンダードは対象外です（サイトセキュリティの設定）。

よくある失敗は、プラグインを入れただけで更新しない、退職者や契約の終わった制作会社のアカウントが残る、誤検知でWAFを止めたままにする、IP制限で自分たちが締め出される、の4つです。WAFはWAFとは：中小企業のサイトに必要か、IP制限はWordPress管理画面のIP制限、制作会社と原稿や写真を共有するときの権限と期限は制作会社とのデータ受け渡しで解説しています。

SSL証明書とhttps

SSL証明書は、多くの会社のサイトでは無料のドメイン認証型（DV）で足り、大切なのは期限の前に更新され続けることです。エックスサーバーの無料独自SSLは有効期間90日で、期限の30日前に自動で更新されます（無料独自SSL）。証明書の有効期間は、2026年3月15日以降の発行分から最大200日になり、2027年3月15日以降は100日、2029年3月15日以降は47日へ短くなります（CA/Browser Forumの決定）。エックスサーバーの有料の企業認証（OV）とEVは、契約期間中の再発行は無料ですが手続きは利用者が行い、期限の35日前を目安に案内メールが届きます（お知らせ）。違いと選び方はSSL証明書の種類（DV・OV・EV）の違い、httpsにそろえる手順はhttpをhttpsにするにはで解説しています。

メール：送信ドメイン認証とフォームの送信テスト

会社のメールとフォームの通知を届けるには、SPF・DKIM・DMARCの送信ドメイン認証を設定し、設定を変えたあとはフォームから送信テストを行います。

この段階で決めることは、会社のメールをどのサービスで使うか、送信ドメイン認証を誰が設定するか、フォームの通知を受けるアドレスです。Gmailは2024年2月1日以降、個人用のGmailアカウントに送るすべての送信者にSPFまたはDKIMなどを求め、1日5,000件を超えて送る送信者にはSPF・DKIM・DMARCのすべてを求めています（Gmailの送信者のガイドライン）。2025年11月からは、要件を満たさないメールへの措置を強めています（Gmailのよくある質問）。

エックスサーバーでは、SPFはドメインの追加で自動で設定され、DKIMとDMARCはサーバーパネルでドメインごとに設定します（SPF・DKIM・DMARCのマニュアル）。DMARCは「何もしない」のポリシーでレポートを受け取ることから始め、段階的に強めることが公式に勧められています。

よくある失敗は、サーバーやメールのサービスを替えたのにDNSの設定を直していない、フォームの通知が届いていないことに長く気づかない、の2つです。設定の手順は会社のメールが迷惑メールになる原因とSPF・DKIM・DMARC、届かないときの切り分けは問い合わせフォームのメールが届かない原因と確認手順で解説しています。

ドメイン：名義と期限を自社で把握する

ドメインは、名義を自社にして有効期限と更新の連絡先を台帳で管理し、管理会社を替える「移管」と、サイトやメールの行き先を替える「ネームサーバーの変更」を分けて考えます。

この段階で決めることは、名義、管理会社、更新の連絡を受けるアドレス、期限の管理方法です。連絡は担当者個人ではなく共有のアドレスで受けると、退職や異動で途切れません。役割と種類はドメインとは、名義の考え方と確認方法はドメイン・サーバーは自社と制作会社どちらの名義で管理するかで解説しています。

移管では、移管元から認証コード（AuthCode）を受け取って移管先に申し込みます。JPドメイン名のAuthCodeは、生成日の翌日から数えて35日後が有効期限です（JPRS「指定事業者の変更」）。エックスサーバーの「XServerドメイン」では、.co.jpの移管料金は4,136円（税込）で、.jp系は期限まで1ヶ月以上の余裕を持って申し込むよう案内しています（料金・移管のマニュアル）。

よくある失敗は、制作会社の名義のまま契約を終える、更新の連絡が退職者のメールに届いて期限を過ぎる、期限の直前に移管しようとして間に合わない、の3つです。手順と注意点はドメイン移管の手順で解説しています。

困ったとき：改ざん・停止・引き継ぎ

改ざんや乗っ取りに気づいたら、記録を残してから被害の拡大を止め、パスワードの変更、原因の特定、復旧、関係先への連絡の順に進めます。

前もって決めておくことは、緊急時の連絡先、どのバックアップから戻すか、公開を止めるかを誰が判断するかです。最初の24時間の動き方はホームページ改ざん・WordPress乗っ取りの対処で解説しています。

エックスサーバーの自動バックアップはWeb・メール・MySQLの過去14日分（一部の旧サーバーはWeb・メールが7日分）で、復元すると対象のデータは上書きされます。公式も確実な保全を保証するものではないとし、利用者自身でのバックアップを強く勧めています（自動バックアップ）。改ざんに気づくのが遅れると14日分がすべて改ざん後のデータの場合もあるため、別の場所にも保管します。保管の決め方はサーバーのバックアップと復元で解説しています。

制作会社の変更や担当者の退職、制作会社の廃業では、ドメイン・サーバー・管理画面の名義と権限を先に確かめ、旧契約の解約は最後にします。手順はホームページの引き継ぎ手順にまとめています。

年に1回は確認すること

サーバー・ドメイン・セキュリティの問題の多くは期限切れと確認漏れから起きるため、年に1回、次の6項目を確かめます。

結果は、ドメイン名・管理会社・有効期限・サーバー会社・契約者・ログイン情報の保管場所を書いた台帳に残すと、翌年の確認と担当者の交代がしやすくなります。

よくあるご質問

制作会社とサーバーの契約名義は、どちらにすべきですか？

自社の名義をお勧めします。制作会社を変えるときや制作会社が廃業したときも、サーバーとドメインをそのまま使えます。名義と作業は別なので、作業は制作会社や保守会社に任せ、ログイン情報は自社でも保管する形にできます。なお、エックスサーバーの請求書の宛名は契約の名義で、任意の宛名には変えられません（請求書のマニュアル）。

サーバーの管理は誰の仕事ですか？

共用のレンタルサーバーでは、機器やOS、PHPなどのソフトウェアの修正はサーバー会社、契約とアカウントの管理は自社、WordPressの更新やPHPのバージョンの切り替え、バックアップの確認は自社か保守を任せた会社、という分担が一般的です。2026年10月のPHPの重大な脆弱性では、エックスサーバー・XServerビジネス・XServer for WordPressはエックスサーバーが10月26日までに修正を済ませ、VPS系のサービスは利用者自身の対応が必要とされました（エックスサーバーのお知らせ）。

保守契約には何が含まれますか？

会社によって違うため、契約の前に「やること・やらないこと」の一覧で確かめます。当社の保守ライト（月2万円〜・税別）は、WordPress本体・プラグインの更新（月2回）、週次バックアップと復元、稼働監視（停止・改ざんの検知）、SSL・ドメインの期限の管理、障害時の一次対応、テキストの修正（月30分まで）を含み、保守スタンダード（月3万円〜・税別）ではログイン保護・改ざん検知・WAFの設定とフォームの月次の動作確認が加わります。サーバーとドメインの費用は実費です。

エックスサーバーを使っていますが、何を確認すればよいですか？

サーバーを移す必要はなく、設定を確かめます。サーバーパネルで、PHPのバージョン（8.2以前なら8.3以上への切り替えを計画する）、WordPressセキュリティ設定、WAF、DKIMとDMARCを確認し、プレミアム・ビジネスプランなら無料のXServer サイトセキュリティを設定しているかも見ます。あわせて、手元にもバックアップがあるかと、XServerアカウントで契約の更新日を確かめます。

まとめ

会社のサーバー・ドメイン・セキュリティの要点は次のとおりです。

• 選ぶ：名義は自社。メールを同じサーバーで使うかと、稼働率の保証や代行の要否でサービスを決め、費用は契約期間の総額で比べる
• 移す：移転元の契約を残して準備し、表示とメールを確かめてから最後にネームサーバーを切り替える
• 更新する：PHPとWordPressはサポート期限から逆算し、バックアップとテストのあとに切り替える
• 守る：更新・ログイン保護・バックアップを先にそろえ、WAF・改ざん検知・IP制限を重ねる
• メール：SPF・DKIM・DMARCを設定し、設定を変えたらフォームから送信テストを行う
• ドメイン：名義と期限を台帳で管理し、移管とネームサーバーの変更を区別する
• 困ったとき：記録を残してから被害を止める。バックアップは別の場所にも保管する

当社では、他社のサーバーからの移転とPHPの更新をサーバー移転・PHP更新の代行で、その後の更新・バックアップ・期限の管理をWEBサイト運用保守・集客改善でお受けしています。今のサイトの設定を確かめたい場合は、URLを入れるだけの無料簡易診断をご利用ください。

関連記事：法人のレンタルサーバーの3年総額の試算／エックスサーバーのプランの選び方／WordPressのセキュリティ対策チェックリスト