WEBサイトのセキュリティ対策

こんな不安はありませんか

• WordPressやプラグインの更新が止まっていて、改ざんや乗っ取りが心配
• 取引先から、ホームページやサーバーのセキュリティ対策を説明するよう求められた
• 管理画面のIDとパスワードを、退職者や前の制作会社と共有したままになっている
• バックアップがあるのか、戻せるのかが分からない
• 問い合わせフォームで受け取った個人情報が、きちんと守られているか分からない
• サーバーやドメインの契約が誰の名義で、いつ更新されるのか把握していない

ホームページの被害の多くは、更新が止まったCMSや拡張機能、推測しやすいパスワード、放置されたアカウントなど、運用の隙から起きます。フェニックスデザインは、こうした隙をふさぐ保守を続け、取引先に説明できる記録を残します。他社が作ったサイトにも対応します。

企業のホームページが狙われる理由と、主な被害

「うちのような小さな会社のサイトは狙われない」と考えられがちですが、ホームページへの攻撃の多くは、特定の会社を選んで行われるものではありません。弱点のあるサイトを自動で探すプログラムが、インターネット上のサイトを広く調べ、古いバージョンのCMSやプラグイン、推測しやすいパスワードを見つけると、規模や業種に関係なく攻撃します。会社の知名度ではなく、弱点があるかどうかで狙われるということです。

被害に気づくのは、多くの場合、取引先や閲覧者からの連絡、検索の結果、サーバー会社からの通知など、外からの知らせです。気づくのが遅れるほど、影響の範囲が広がり、閲覧者や取引先への説明、検索の評価の回復にも時間がかかります。防ぐ対策と同じくらい、早く気づく仕組みが大切です。脅威の全体像はWebサイトのセキュリティ対策：企業サイトを狙う7つの脅威で解説しています。

被害の多くは「運用の隙」から起きる

特別な技術を使った攻撃よりも、日々の運用の中で生まれる隙が狙われるのが、企業のホームページの被害の典型です。代表的な隙と、それをふさぐ対策を表にまとめます。

どれも、一度設定すれば終わりではなく、続けて確かめることで効果が保たれます。社内で確かめられる項目はWordPressのセキュリティ対策チェックリストにまとめています。

対策の内容と、プランごとの範囲

このほか、保守ライトにはテキストの修正（月30分まで）とメールでのサポート、保守スタンダードには画像の差し替えや文言の変更、お知らせの投稿の代行などの軽微な作業（月2時間）が含まれます。保守と運用改善の両方をご契約の場合は、保守の月額を5,000円引きします。

料金は税別です。契約の期間は6か月で、以降は6か月ごとに自動で更新します。サーバー・ドメインの費用と、有料のプラグインのライセンスの費用は実費です。プランの詳細はWEBサイト運用保守・集客改善と料金ページでご確認ください。PHPの更新（55,000円〜）とサーバーの移転（88,000円〜）は、保守と同時のお申し込みで半額になります。

ひとつひとつの対策で行うこと

「保守をしています」と言っても、何をどの頻度で行っているかは会社によって違います。当社は、やること・やらないことを契約のときに一覧にし、作業の内容を毎月ご報告します。主な対策の中身は次のとおりです。

更新：止めずに、壊さずに

WordPressの本体とプラグインを月2回更新します。更新のあとは、主要なページの表示と動作を確かめます。長く更新が止まっていたサイトは、一度にすべてを最新にすると表示が崩れることがあるため、テスト環境で互換性を確かめてから、本番に反映します。更新で不具合が出た場合は、バックアップから元の状態に戻したうえで、原因を確かめます。

バックアップ：取るだけでなく、戻せることを確かめる

週に1回、サイトのデータとデータベースのバックアップを取ります。バックアップは、取れていても戻せなければ意味がありません。年に1回は、実際に復元できるかを試験します。サーバー会社の自動のバックアップとの役割の違いはサーバーのバックアップと復元で解説しています。

監視：早く気づくために

サイトが止まっていないか、ページが書き換えられていないかを監視し、異常があれば通知を受けて確認します。被害の影響を小さくするには、気づくまでの時間を短くすることがいちばんの近道です。

ログインの保護とWAF（保守スタンダード）

管理画面への不正なログインを防ぐため、ログインの保護を設定します。方法は、二段階認証、ログインの試行の回数の制限、管理画面に接続できる場所の制限などから、社内の使い方に合わせて選びます。あわせて、使っていない機能の無効化と、サーバーのWAF（不正な通信を止める仕組み）の設定を行います。テレワークなどで接続の場所が変わる会社では、締め出されないように運用を決めてから設定します。考え方はWordPressの二段階認証とWordPress管理画面のIP制限で紹介しています。

フォームの確認（保守スタンダード）

問い合わせフォームが正しく送信され、通知のメールが届くかを毎月確かめます。フォームは、気づかないうちに止まっていると、問い合わせを取りこぼすだけでなく、迷惑な送信に悪用されることもあります。迷惑な送信への対策は問い合わせフォームのスパム対策で紹介しています。

期限の管理と報告

SSL証明書とドメインの期限を管理し、更新の漏れを防ぎます。保守スタンダードでは、表示速度、エラー、更新の履歴をまとめた稼働レポートをお送りします。

保守の始まりから、毎月の流れ

ご契約から1か月で現状の診断と初期の設定を行い、2か月目から毎月の保守のサイクルに入ります。

期限切れのトラブルも、セキュリティの一部

SSL証明書やドメインの期限切れは、攻撃ではありませんが、サイトの停止や警告の表示につながり、閲覧者や取引先の信頼を損ねる点では被害と同じです。ドメインの期限が切れると、サイトだけでなく、同じドメインのメールも届かなくなることがあります。さらに、期限が切れたドメインが第三者に取得され、悪用されるおそれもあります。当社の保守では、SSLとドメインの期限を管理し、更新の漏れを防ぎます。起きてしまったときの対処はドメインの期限切れで起きることと復旧の手順とSSL期限切れの警告が出たときの対処で解説しています。

予算が限られるときの、対策の優先順位

すべての対策を一度に行うのが難しい場合は、被害の起きやすさと、起きたときの影響の大きさから、次の順で進めることをおすすめします。

1. 更新を再開する: 公表された弱点をふさぐことが、最も効果の大きい対策です。止まっている場合は、まずここから始めます。
2. バックアップを確保する: 被害が起きても戻せる状態をつくります。サイトと別の場所に保管し、戻せるかを確かめます。
3. アカウントを整理し、ログインを守る: 不要なアカウントを削除し、担当者ごとのアカウントと、二段階認証などのログインの保護を設定します。
4. 監視を始める: 停止や改ざんに早く気づける仕組みをつくり、通知が誰に届くかを決めます。
5. 不要な機能を減らす: 使っていないプラグインやテーマを削除し、弱点になる部分を減らします。
6. WAFなどで守りを足す: サーバーのWAFの設定など、攻撃を入口で止める対策を加えます。
7. 必要に応じて診断を受ける: 会員の機能や独自のシステムがある場合は、専門の診断で弱点を確かめます。

1、2、4は、保守ライトの範囲で始められます。ログインの保護とWAFの設定まで任せたい場合は、保守スタンダードをお選びください。

社内で年に1回確かめたいこと

保守を任せていても、契約や体制の変化は社内でしか分かりません。年に1回、次の点を確かめると、抜け漏れを防げます。

• 管理画面、サーバー、ドメイン、計測のツールのアカウントと、使っている人が合っているか
• サーバーとドメインの契約の名義と、更新の時期
• 被害が起きたときの社内の連絡先と、委託先への連絡の方法
• 問い合わせフォームで受け取る項目と、プライバシーポリシーの内容が合っているか
• サイトの制作や保守を任せている委託先と、その契約の範囲
• 今のPHPとWordPressのバージョンと、サポートの期限

当社の保守をご契約の場合は、毎月の作業の報告や、SSLとドメインの期限の管理の内容も、社内での確認の材料としてお使いください。

サイトの種類と扱う情報で、必要な対策は変わる

すべてのサイトに同じ対策が必要なわけではありません。サイトにどんな機能があり、どんな情報を受け取るかで、守るべきものと、追加で考える対策が変わります。最初に自社のサイトがどれに当たるかを確かめると、過不足のない対策を選べます。

表の下の段に行くほど、保守に加えて、設計や専門の診断の費用をかける意味が大きくなります。反対に、会社案内が中心のサイトに過大な対策を入れると、費用だけでなく、更新の手間が増えて運用が止まる原因にもなります。

問い合わせフォームと個人情報の扱い

企業のホームページで、最も守る必要がある情報は、問い合わせや資料請求、応募のフォームで受け取る個人情報です。フォームの安全は、サイトの設定だけでなく、受け取ったあとの扱いまで含めて考えます。

• 通信を暗号化する: サイト全体をSSL（https）で配信し、入力の内容が途中で読み取られないようにします。
• 受け取る項目を絞る: 必要のない項目を集めないことが、漏えいしたときの影響を小さくする最も確実な方法です。項目の決め方は問い合わせフォームの項目の決め方で紹介しています。
• 保存の場所と期間を決める: 受け取った内容をサイトのデータベースに残すのか、メールだけで受け取るのか、いつまで保存するのかを決めます。
• 通知のメールに載せる範囲を決める: 自動返信のメールや社内への通知のメールに、どこまでの情報を載せるかを決めます。考え方は問い合わせの自動返信メール例文でも触れています。
• 迷惑な送信を防ぐ: 機械的な大量の送信を防ぐ仕組みを入れ、フォームが迷惑メールの送信や、不正な入力の試しに使われないようにします。
• プライバシーポリシーと合わせる: 取得する情報と利用の目的、外部のツールへの送信を、プライバシーポリシーに正しく書きます。書き方はプライバシーポリシーの書き方で解説しています。

社内で行っていただきたいこと

保守で守れるのは、サーバーとWordPressの側です。管理画面に入る人のパソコンやメール、パスワードの扱いは、社内の運用で守る必要があります。次の点は、保守のご契約とあわせて社内で確かめていただくようお願いしています。

• アカウントは担当者ごとに: 一つのIDとパスワードを複数の人で使い回さず、担当者ごとにアカウントを作ります。
• 退職や異動のときに整理する: 担当者が辞めたときは、管理画面、サーバー、ドメイン、GA4などのアカウントを整理します。手順は退職者のアカウント整理で紹介しています。
• パスワードを使い回さない: 管理画面のパスワードを、ほかのサービスと同じにしないようにします。
• パソコンとメールを守る: 管理画面に入るパソコンのOSやブラウザを最新に保ち、不審なメールの添付やリンクを開かないようにします。
• 生成AIに貼らない情報を決める: ログインの情報や、問い合わせで受け取った個人情報を、生成AIのサービスに入力しないなどのルールを決めます。考え方は生成AIの社内ルールでまとめています。
• メールのなりすましに備える: 会社のドメインのメールが偽装されないよう、SPF・DKIM・DMARCの設定を確かめます。手順はSPF・DKIM・DMARCの設定手順で解説しています。

どれも難しい作業ではありませんが、担当者が決まっていないと後回しになりがちです。総務や情報システムの担当者と、ホームページの担当者のどちらが受け持つのかを決めておくと、抜け漏れを防げます。

取引先に説明できる記録を残します

経済産業省は、取引先のセキュリティ対策の状況を共通の基準で示すSCS評価制度について、★3・★4の制度開始を2026年度末頃に目指すとしています（2026年11月時点）。ホームページやサーバーの管理も、会社のIT基盤の一部として説明を求められる可能性があります。保守では、次のような記録を残し、取引先からの確認に答えるときの材料としてお渡しします。

• 本体とプラグインの更新の履歴（日付と対象）
• バックアップの取得の状況と、復元の試験の結果
• 管理画面のアカウントの一覧と、棚卸しの記録
• 監視の状況と、異常があった場合の対応の記録
• SSLとドメインの期限と、更新の記録

制度の概要はセキュリティ対策評価制度（SCS）とはで解説しています。中小企業がまず取り組みやすい自己宣言の制度はSECURITY ACTIONの一つ星と二つ星で紹介しています。

委託先を通じた被害に備える

IPAの情報セキュリティ10大脅威2026の組織編では、2位が「サプライチェーンや委託先を狙った攻撃」でした。ホームページの制作会社や保守の会社も、会社のシステムに入れる委託先の一つです。委託先の管理が甘いと、そこを入口に被害が広がるおそれがあります。

当社は委託先として、管理画面のログインの情報の受け渡しの方法を事前に決め、行った作業の内容を毎月ご報告します。保守を外部に任せる場合は、当社に限らず、委託先に次の点を確かめることをおすすめします。

• どのアカウントで、どの範囲の作業をするのか
• 再委託（さらに別の会社に作業を任せること）があるのか
• ログインの情報をどのように受け取り、保管するのか
• 作業の記録を残し、報告するのか
• 契約が終わったときに、アカウントと預けた情報をどう扱うのか

被害に気づいたときの初動

改ざんや乗っ取り、情報漏えいのおそれに気づいたら、被害の拡大を止め、記録を保全し、パスワードを変更したうえで、原因を調べてから復旧します。原因を残したままバックアップから戻すと、同じ被害を繰り返すためです。

保守をご契約中のサイトは、バックアップからの復元と原因の調査を行います。緊急時の連絡方法と対応の時間は、契約のときに取り決めます。ご契約のないサイトの復旧のご相談は、状況を確認したうえでお見積りします。

個人情報が関わる場合は、個人情報保護法にもとづく対応が必要になることがあります。個人情報保護委員会の漏えい等の対応の案内によると、報告の対象に当たる場合は、速報を発覚からおおむね3〜5日以内、確報を30日以内（不正な目的によるおそれがある場合は60日以内）に行います。当社は、報告に必要な情報の整理に協力します。初動の流れはホームページ改ざん・WordPress乗っ取りの対処と問い合わせフォームから個人情報が漏れたらで紹介しています。

取引先からセキュリティの確認表を求められたら

取引の開始や更新のときに、取引先から情報セキュリティの確認表（チェックシート）への回答を求められることがあります。ホームページやサーバー、問い合わせフォームについての質問は、社内だけでは答えにくい部分です。よく含まれる項目と、回答の準備の仕方をまとめます。

当社が保守を担当しているサイトについては、制作と保守の範囲で、確認表の回答に必要な情報をご用意します。保守の記録が残っていると、回答の根拠を示しやすくなります。会社全体の方針や、社内のパソコンとネットワークについての項目は、社内のご担当者に回答いただく形になります。

ホームページのセキュリティでよくある思い込み

• 「SSLにしているから安全」: SSLは通信の途中で内容を読み取られないための仕組みです。サイトの改ざんや、管理画面への不正なログインを防ぐものではありません。
• 「セキュリティのプラグインを入れたから大丈夫」: プラグインは対策の一部です。本体やほかのプラグインの更新が止まっていれば、弱点は残ります。プラグイン自体も更新が必要です。
• 「サーバー会社がバックアップしているから大丈夫」: サーバー会社のバックアップは、保存の期間や復元の方法、費用が決まっています。改ざんに気づくのが遅れると、戻したい時点のバックアップが残っていないことがあります。
• 「制作会社が見てくれているはず」: 制作の契約に保守が含まれているとは限りません。契約書で、更新や監視が範囲に入っているかを確かめてください。
• 「小さな会社のサイトは狙われない」: 攻撃の多くは、弱点のあるサイトを自動で探して行われます。会社の規模は関係ありません。

ランサム攻撃とAIの利用：2026年の上位の脅威とホームページ

情報セキュリティ10大脅威2026の組織編では、1位が「ランサム攻撃による被害」、3位が「AIの利用をめぐるサイバーリスク」でした。どちらも社内のシステムの話と思われがちですが、ホームページの運用とも関わりがあります。

ランサム攻撃への備え

ランサム攻撃は、データを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する攻撃です。社内のサーバーやパソコンが主な標的ですが、ホームページのデータが同じ環境に置かれている、または管理画面に入るパソコンが被害を受けると、ホームページも影響を受けます。被害を受けると、データを戻せたとしても、原因の調査と復旧に時間がかかり、その間はサイトを公開できないこともあります。備えとして大切なのは、バックアップをサイトと同じ場所だけに置かないこと、復元の手順を試しておくこと、管理画面に入るパソコンを最新の状態に保つことです。

AIの利用をめぐるリスク

生成AIの広がりで、本物と見分けにくいなりすましのメールが作りやすくなり、管理画面のログインの情報を盗もうとするメールにも注意が必要になりました。また、WordPressの7.0ではAIのサービスとつなぐ仕組みが加わり、プラグインを通じてサイトの内容をAIのサービスに送る機能も増えています。使う場合は、どのサービスにつなぐか、どの情報を送ってよいか、誰が使えるかを決めてからにします。考え方はWordPressのAI機能で解説しています。

制作のときから、セキュリティを要件に入れる

新しくサイトを作る、作り直す場合は、開発・サーバー・管理画面・運用・事故時の対応の5つに分けて、セキュリティの要件を最初に決めます。IPAの「安全なウェブサイトの作り方」を物差しにして実装と確認を行い、公開後の保守の担当と手順まで決めてから公開します。

要件の決め方はWebサイト制作の発注で決めるセキュリティ要件にまとめています。中堅・大手の企業で、情報システム部門の審査がある場合の進め方は中堅・大手BtoB企業のサイト制作のページでもご説明しています。

脆弱性診断との関係

脆弱性診断は、サイトに攻撃に使われる弱点がないかを、専門の方法で調べるものです。ツールで自動的に調べる方法と、専門家が手作業で調べる方法があり、範囲と方法によって費用が大きく変わります。会員の機能や決済、独自に開発したシステムがあるサイトでは、診断を受ける意味が大きくなります。

診断そのものは、専門の診断会社をおすすめする場合があります。IPAは、一定の基準に適合したセキュリティのサービスを情報セキュリティサービス基準適合サービスリストとして公開しており、診断会社を選ぶときの参考になります。当社は、診断の前の準備（対象の範囲の整理、テスト環境の用意など）と、報告された弱点の修正を担当します。診断は、その時点の弱点を見つけるものです。診断のあとも更新を止めれば新しい弱点が生まれるため、診断は保守の代わりにはなりません。会社案内とお知らせ、問い合わせフォームが中心のサイトであれば、まずは更新と設定の見直し、社内でできる点検から始めるのが現実的です。詳しくはWebサイトの脆弱性診断とはとWordPressセキュリティ診断：自社で確認する12項目をご覧ください。

他社が作ったサイトの保守を始めるとき

前の制作会社との契約が切れた、担当者が辞めて管理の情報が分からない、という状態からの保守のご相談も多くいただきます。他社が作ったサイトは、初回に現状の診断（別途お見積り）を行ってから保守を始めます。

1. 現状の診断: サーバー、ドメイン、WordPressの本体とプラグイン、テーマ、PHPのバージョン、バックアップの有無を確かめ、リスクと改善点を一覧にします。
2. 管理の情報の棚卸し: サーバー、ドメイン、管理画面、計測のツールのアカウントと名義を整理し、引き継ぎます。前の制作会社との契約の状況に応じた引き継ぎの方法をご案内します。
3. 初月の整備: 更新、バックアップ、監視、セキュリティの設定を整えます。
4. 毎月の保守: 更新、バックアップの確認、動作の確認を行い、作業の内容をご報告します。

引き継ぎで確かめる項目はホームページの引き継ぎ手順、名義の考え方はドメイン・サーバーは自社と制作会社どちらの名義で管理するかで解説しています。

2026年に確かめておきたいこと

• PHP 8.2のサポート終了（2026年12月31日）: 8.3以上へ上げる準備ができているか。手順はPHP 8.2のサポート終了への対応で解説しています。
• WordPress 7系への更新: 7.0でPHPの最低要件が7.4に上がり、7.1系では重大な脆弱性の修正を含む更新も公開されています。12月には7.2が予定されています。
• 情報セキュリティ10大脅威2026: ランサム攻撃、委託先を狙った攻撃、AIの利用をめぐるリスクが上位です。確認すべき点は情報セキュリティ10大脅威2026：企業サイトで対策することでまとめています。
• SCS評価制度: ★3・★4の制度開始の見通しと、取引先から求められる段階を確かめておく。

WordPressを使い続けるか、乗り換えるかの判断も含めたご相談は、WordPressの相談のページでご案内しています。

セキュリティ対策の費用の考え方

ホームページのセキュリティの費用は、「毎月の保守」「必要なときのスポットの作業」「被害が起きたときの復旧」の3つに分けて考えると、比べやすくなります。

予防の費用を削ると、復旧の費用と、目に見えない損失のおそれが大きくなります。一方で、サイトの規模や扱う情報に比べて過大な対策は、続かない原因になります。当社は、今のサイトの状態と扱う情報を確かめたうえで、必要な範囲の保守をご提案します。保守の費用の内訳はWordPress保守の外注費用、維持費の全体はホームページの維持費は年間いくら？で解説しています。

保守会社を選ぶときに確かめたいこと

ホームページの保守を外部に任せるときは、当社に限らず、次の点を契約の前に確かめることをおすすめします。月額の安さだけで選ぶと、必要な作業が範囲に入っていなかったと、被害が起きてから分かることがあります。

• 更新の頻度と、更新のあとの動作の確認の方法が決まっているか
• バックアップの頻度と保管の期間、復元を試したことがあるか
• 停止や改ざんに、誰が、どのように気づく仕組みか
• やること・やらないことが一覧になっていて、作業の内容の報告があるか
• 被害が起きたときの連絡の方法と対応の時間、費用の扱いが決まっているか
• サーバーとドメインの名義が自社のままで、契約が終わったときに引き継げるか
• 他社が作ったサイトの場合、最初に現状を診断してから引き受けるか

保守の作業の内容を一覧で確かめたい場合はホームページの保守とは？もあわせてご覧ください。

よくあるご質問

他社が作ったサイトの保守も頼めますか？

対応します。最初に、サーバー・WordPress・プラグインの状態と、引き継ぎに必要な情報を確認します。

WordPress以外のサイトでも相談できますか？

保守の中心はWordPressのサイトです。それ以外のサイトは、状況を伺ったうえで対応できる範囲をご説明します。

改ざんされてしまったサイトの復旧だけを頼めますか？

ご相談ください。状況を確認し、原因の調査と復旧の作業をお見積りします。復旧の後は、再発を防ぐための保守をおすすめしています。

保守の契約の期間はありますか？

契約の期間は6か月です。以降は6か月ごとに自動で更新し、終了する場合は満了の1か月前までにお知らせいただきます。

保守ライトと保守スタンダードは、どちらを選べばよいですか？

更新とバックアップ、監視の最低限を確保したい場合は保守ライト、ログインの保護やWAFの設定、フォームの確認、稼働レポートまで任せたい場合は保守スタンダードが向いています。取引先に対策を説明する必要がある会社には、ログインの保護と稼働レポートが含まれる保守スタンダードをおすすめしています。

社内にセキュリティやWebの担当者がいなくても頼めますか？

頼めます。専任の担当者がいない会社からのご依頼が多く、作業の内容と結果は、専門の用語をできるだけ使わずにご報告します。社内で行っていただきたいことも、一覧にしてお渡しします。

被害が起きたとき、すぐに対応してもらえますか？

保守をご契約中のサイトは、バックアップからの復元と原因の調査を行います。緊急時の連絡方法と対応の時間は、契約のときに取り決めます。

SSLの証明書は、無料のもので足りますか？

暗号化の強さは、証明書の種類では変わりません。多くの企業のサイトは、ドメインの確認だけで発行される証明書で足ります。組織の実在を示したい場合などに、企業の認証を含む証明書を選びます。違いはSSL証明書の種類の違いで解説しています。

サーバーの選び直しや移転も相談できますか？

できます。サーバーの移転は一式88,000円〜（税別）で、移転の前の確認、SSLの設定、DNSの切り替え、切り替えたあとの動作の確認まで行います。詳しくはサーバー移転・PHP更新の代行のページをご覧ください。

まず状態だけ見てもらうことはできますか？

URLを入れるだけの無料簡易診断で、表示速度や検索での見え方などの基本の状態を確かめられます。セキュリティの状態の確認は、お問い合わせからご相談ください。