サーバーの管理画面に「WAF設定」という項目があるが、有効にしてよいのか分からない。保守会社から「WAF を入れたほうがよい」と言われたが、何を防ぐものなのか社内で説明できない。WAF を ON にしたら、WordPress の記事が保存できなくなった。この記事は、こうした疑問や困りごとを持つサイト担当者に向けたものです。

結論から言うと、WAF（Web Application Firewall）は、Webサイトの仕組みの弱点を突く攻撃の一部を入口で止めてリスクを下げる仕組みで、CMS やプラグインの更新の代わりにはなりませんが、レンタルサーバーに追加費用なしで備わっていることが多いので、有効にしたうえで更新と組み合わせて使います。誤検知で作業ができないときは、原因の項目だけを一時的に止め、作業が終わったら元に戻します。

この記事では、WAF の役割と限界、種類と中小企業での選び方、エックスサーバーでの設定、誤検知で更新できないときの対処を、IPA（情報処理推進機構）の資料とエックスサーバーのマニュアルにもとづいて、2026年10月時点の情報で解説します。WordPress のセキュリティ対策の全体はWordPressのセキュリティ対策チェックリストで扱っています。

WAF とは：ファイアウォールとの違い

WAF は、Webサイトへのアクセスの中身を調べ、攻撃に使われる文字列やパターンを含むものを止める仕組みです。

一般的なファイアウォールが「どこから、どの通り道（ポート）で来た通信か」で止めるのに対し、WAF は「URL やフォームに何が書かれているか」を見ます。Webサイトはだれでも見られるように公開しているため、通り道では止められない攻撃を、中身で判断して止めるのが WAF の役割です。

仕組み	主に見るもの	止める攻撃の例
ファイアウォール	通信の送信元・宛先・ポート	使っていない通り道への接続
IDS/IPS（不正侵入の検知・防御）	通信に含まれる既知の攻撃のパターン	OS やサーバーのソフトウェアの脆弱性を狙う通信
WAF	Webサイトへのアクセスの中身（URL・フォームの入力など）	SQLインジェクション、クロスサイト・スクリプティング、フォームの悪用

IPA のWeb Application Firewall を理解するための手引き（2011年、改訂第2版）は、WAF をアプリケーションの作りを直す根本的な対策ではなく、攻撃による影響を小さくする運用面の対策と位置づけています。

WAF でできること・できないこと

WAF はよく知られた手口の攻撃を入口で減らせますが、すべての攻撃を止めるものではなく、ソフトウェアに残った弱点を消すこともできません。

WAF で減らせること	WAF では防げないこと・限界
SQLインジェクションやクロスサイト・スクリプティングなど、攻撃のパターンを含むアクセス	盗まれたパスワードを使った、正規の手順でのログイン
修正版が出るまで、または更新が終わるまでの間の攻撃	プラグインやテーマの脆弱性そのものの修正
フォームを使ったメールの不正送信の一部	権限の確認の不備など、アプリケーションの設計上の問題
サーバーの設定ファイルを狙ったアクセス	正常なアクセスを攻撃と判断して止めてしまうこと（誤検知）は避けられない

前述の IPA の手引きは、WAF が特に役立つ場面として、制作した会社に改修を頼めない、製品の修正版を待てない、攻撃を受けていてサイトを止めずにすぐ防ぎたい、といった「脆弱性の修正が難しい状況」を挙げています。他社が制作したサイトを引き継いでいる中小企業にも当てはまる場面です。一方で、正常な通信を攻撃と判断して止める誤検知と、攻撃を見逃す検知漏れの両方が起こりうるとしています。

エックスサーバーのWAF設定のマニュアルも、WAF は不正アクセスを100%防ぐことを保証するものではなく、最低限の予防策であり、アプリケーションを最新版に保つことやセキュリティの対応が欠かせないと明記しています。

Service

運用保守・集客改善のご相談はフェニックスデザインへ

ナレッジベースを運営するフェニックスデザインが、今のサイトの数字を見るところから対応します。URLを入れるだけの無料簡易診断から。

無料で簡易診断運用保守・集客改善のサービスを見る

WAF の種類と、中小企業のサイトでの選び方

中小企業のコーポレートサイトなら、まずレンタルサーバーに備わっている WAF を有効にし、アクセスが多い、攻撃を受け続けている、細かい設定が必要、といった場合に別の種類の WAF を検討するのが現実的です。

種類	特徴	向いている場合	注意点
レンタルサーバーの機能	管理画面で ON・OFF する。追加費用がかからないことが多い	一般的な会社のサイト	細かい規則は設定できない。遮断の記録を見られないことがある
サーバーに入れる型・WordPress のプラグイン	サーバーやサイトの中で動く	自社で管理するサーバー、サイトごとに調整したい場合	設定と更新を自分で行う。機能の重なるプラグインを複数入れない
クラウド型（サービスとして提供）	サイトの手前に置く外部のサービス。大量のアクセスへの対策と一体のものもある	アクセスが多い、攻撃を受け続けている、複数のサイトをまとめて守りたい	月額の費用がかかる。DNS の切り替えが必要で、設定を誤るとサイトが表示されなくなる

OS やミドルウェアを自由に入れられる VPS などでは、WAF の導入と更新も利用者の責任になります。エックスサーバーの2026年10月の PHP の脆弱性についての告知でも、VPS は OS や PHP を利用者が管理するため、修正は利用者自身で行う必要があるとしています。社内にサーバーを管理できる人がいない会社は、WAF を含めて事業者が管理する共用サーバーのほうが運用しやすい場合が多いです。サーバーを選ぶときの基準は法人のレンタルサーバーの選び方で解説しています。

エックスサーバーの WAF 設定

エックスサーバーと XServerビジネスでは、サーバーパネルの「WAF設定」で、6つの攻撃の種類ごとに WAF を設定できます。

2018年7月に、両サービスの全プランで追加費用なしに使える機能として提供が始まりました。設定できる項目は次のとおりです。

項目	検知するもの	想定されている攻撃
XSS	スクリプトのタグを埋め込んだアクセス	閲覧者の情報の不正な取得、偽サイトへの誘導
SQL	SQL の構文にあたる文字列を含むアクセス	データベースの情報の漏えい・改ざん・破壊
ファイル	.htaccess など、サーバーの設定ファイルに関係するアクセス	設定の書き換えによるサイトの乗っ取り
メール	to・cc・bcc など、メールのヘッダーに関係する文字列	フォームを悪用した第三者への大量のメール送信
コマンド	サーバーのコマンドに関係する文字列	プログラムを経由したコマンドの不正な実行
PHP	脆弱性の原因になりやすい PHP の関数を含むアクセス	管理者権限の乗っ取り、不正なファイルのアップロード

サーバーパネルにログインし、「セキュリティ」の中の「WAF設定」を開く
6つの項目の状態を確認し、必要な項目を ON にする
設定を保存し、反映を待つ（新しいサーバーパネルでは最大30分程度）
反映後に、サイトの表示、記事の保存、フォームの送信、プラグインの更新を試す

WAF に検知されたアクセスは拒否され、エラーのページが表示されます。なお、マニュアルには遮断の記録を確かめる方法は書かれていません（2026年10月時点）。攻撃の記録を細かく見たい場合は、記録を確認できる種類の WAF を検討します。

WordPress には、WAF とは別に「WordPressセキュリティ設定」があり、管理画面・XML-RPC・REST API への国外からのアクセスの制限（初期状態は ON。海外の主要なクラウドサービスが持つ日本国内の IP アドレスも対象）と、ログイン試行回数の制限（初期状態は ON。制限は24時間後に解除）をドメインごとに設定できます。うまく動かないときに原因を切り分けられるよう、WAF と両方の状態を把握しておきます。

XServerビジネスでも同じ WAF 設定を使え（マニュアル）、2026年10月13日からは全プランで XServer サイトセキュリティのライトプラン（50ページの脆弱性診断と改ざん検知）を無料で使えるようになりました（お知らせ。サーバーパネルでの設定が必要）。このほか、別の場所への遠隔地バックアップや、月間稼働率99.99%以上を保証するSLAがあります。これからサーバーを選ぶ会社や、他社のサーバーから移る会社は、WAF とあわせてこうした機能も比べる材料になります。

誤検知で WordPress を更新・保存できないときの対処

WAF を有効にしてから、記事の保存やプラグインの更新でエラーが出るようになったら、原因の項目を特定して一時的に OFF にし、作業後に ON へ戻します。

症状	疑う設定	確かめ方
記事やページの保存・公開で「403」などのエラーが出る（本文に埋め込みのコードがある場合に多い）	WAF の XSS・SQL	作業した時刻のアクセスログが 403 になっているか
プラグインやテーマの更新、ファイルのアップロードが失敗する	WAF のファイル・PHP	同上
問い合わせフォームが送信できない、エラーになる	WAF のメール・XSS	テスト送信の時刻と画面の表示
海外の出張先や海外の制作会社から管理画面に入れない、記事を保存できない	WordPressセキュリティ設定の国外アクセス制限（REST API を含む）	エラーの文言、接続している場所
国内からでも「国内IPアドレスからのWordPress管理画面へのアクセスが拒否されました」と出る	同上（海外のクラウドサービスが持つ国内の IP アドレスとして扱われた）	使っている回線・サービスの IP アドレス

エラーが出た日時、操作、画面を記録する
サーバーパネルのアクセスログで、その時刻の操作が 403 になっているかを確かめる（日時・URL・ステータスが記録されます）
疑わしい項目だけを OFF にする。エックスサーバーの403 エラーのよくある質問でも、WAF が不正アクセスと誤って判断している可能性があるとして、「WAF設定」を OFF にして解消するかを確かめるよう案内しています
反映を待ってから（最大30分程度）、同じ作業をやり直す
作業が終わったら項目を ON に戻し、戻した日時を記録する
毎回同じ作業で止まる場合は、ON のまま作業できる方法（埋め込みコードの入れ方の見直し、プラグインの置き換えなど）を保守会社と相談する

国外アクセス制限による場合、ダッシュボードの制限だけを OFF にしても、REST API の制限が ON のままだと記事の編集・保存ができないことがあります。国内からの接続が拒否される場合について、エックスサーバーのよくある質問は、IP アドレスをホワイトリストに登録する方法を勧めています。いちばん避けたいのは、OFF にしたまま戻し忘れることです。だれが、いつ、どの項目を変えたかを記録に残します。

WAF を有効にしたあとも続けること

WAF を有効にしたあとも、更新、ログインの保護、バックアップ、改ざんの検知を続けることで、リスクを下げられます。

WordPress 本体・プラグイン・テーマ・PHP を更新し、使っていないものを削除する
管理者アカウントを絞り、二要素認証を設定する
バックアップを、サーバーとは別の場所にも保管する
脆弱性診断や改ざん検知で、すり抜けた攻撃に早く気づく。改ざんされたときの手順はホームページが改ざん・乗っ取りされたときの対処にまとめています
フォームの悪用は、WAF だけでなくフォーム側でも防ぐ（問い合わせフォームのスパム対策）

よくあるご質問

小さな会社のサイトでも WAF は必要ですか？

必要性は高いと考えます。攻撃の多くは会社の規模を選ばず、弱点のあるサイトを自動で探して行われます。レンタルサーバーに備わっている WAF なら追加の費用がかからないことが多いため、有効にして、表示やフォームに問題が出ないかを確かめるところから始めます。

WAF を有効にすれば、WordPress の更新を減らせますか？

減らせません。WAF は攻撃の一部を止めるだけで、プラグインやテーマの脆弱性そのものは残ります。修正版が出たら更新することが前提で、WAF はそれまでの時間を補う対策です。

セキュリティ用のプラグインの WAF と、サーバーの WAF は両方必要ですか？

必ずしも両方は必要ありません。機能が重なると、誤検知が起きたときにどちらが原因か分かりにくくなります。まずサーバーの WAF を有効にし、ログイン画面の保護など足りない機能をプラグインで補う形にすると、管理しやすくなります。

エックスサーバーの WAF は、どのプランで使えますか？

2018年7月の提供開始の告知では、エックスサーバーと XServerビジネスの全プランで、追加費用なしに使える機能として案内されています。設定はサーバーパネルの「WAF設定」から行います。

まとめ

WAF は、Webサイトへのアクセスの中身を調べて攻撃の一部を入口で止め、更新が終わるまでの間のリスクを下げる仕組みです。すべての攻撃を止めるものではなく、プラグインやテーマの脆弱性を直すこともできないため、更新・二要素認証・バックアップ・改ざん検知と組み合わせて使います。中小企業のサイトなら、まずレンタルサーバーの WAF を有効にし、誤検知で作業できないときは原因の項目だけを一時的に OFF にして、作業が終わったら ON へ戻します。

当社のWEBサイト運用保守では、保守スタンダード（月3万円〜・税別）でログイン保護・改ざん検知・WAF の設定と、フォームの月次動作確認を行っています。他社で制作した WordPress サイトもご相談いただけます。

フェニックスデザイン株式会社WEB制作会社が運営するナレッジベース編集部

コーポレートサイト・採用サイト・サービスサイトの制作と、公開後の運用保守・集客改善の現場で得た知見をもとに、発注する側の視点で記事を制作・更新しています。運営会社の所在地・事業内容は会社案内、制作の考え方はブランディング×マーケティング論をご覧ください。

この記事は 2026年10月27日に公開し、2026年10月27日に内容を確認・更新しました。

WAFとは：中小企業のサイトに必要か、エックスサーバーでの設定と誤検知の対処