ホームページのセキュリティ対策は、サイトを乗っ取られたり書き換えられたりしないようにし、万一のときに元へ戻せるようにしておくことです。
この記事では、専用の製品やサービスを選ぶ前にやることを、公式の説明で確かめられる範囲に絞って整理します。最後に、自社でやることと制作会社や保守の担当に任せることの分け方をまとめます。
対策が必要な理由
1 つめは、狙われるのが大企業だけではないことです。情報処理推進機構（IPA）が毎年選んでいる「情報セキュリティ10大脅威 2026」の組織向けでは、「システムの脆弱性を悪用した攻撃」が 4 位に入っています（6 年連続 9 回目）。ホームページの仕組みやプラグインの弱点（脆弱性）を放っておくと、この攻撃の入口になります。
2 つめは、検索とブラウザでの扱いです。Google の Search Console ヘルプでは、サイトがハッキングされているなどのセキュリティの問題があると、検索結果に警告ラベルが追加されたり、ページを開こうとした人のブラウザに警告ページが表示されたりすると説明しています。改ざんされたサイトは、見る人にも自社の信用にも影響します。
最初にやること 1：ソフトを最新にしておく
WordPress の公式の解説「Hardening WordPress」は、常に最新版の WordPress を使うよう勧め、古い版にはセキュリティの更新が提供されないとしています。テーマやプラグインも同じように、提供元の更新を当てます。
今回集計した実際のサイトでは、お知らせ・ブログを自分で投稿できる仕組みを 87%、実績やメニューのように増やせる一覧を 69% が持っていました。管理画面にログインして更新する作りなら、その管理画面の仕組み自体も更新の対象です。
使っていないプラグインやテーマは、更新するより消してしまうほうが確実です。
最初にやること 2：管理画面のパスワードと 2 段階認証
同じ WordPress の解説は、強いパスワードを使うよう勧めています。管理者のアカウントに入られると、悪意のあるプログラムを入れられ、サーバー全体に被害が広がるおそれがあるからです。避けるべきパスワードとして、自分の名前や会社名・サイト名、辞書にある単語、短いもの、数字だけや英字だけのものを挙げ、あわせて 2 段階認証を使うのがよいとしています。
- アカウントを人ごとに分ける 1 つの管理者アカウントを社内で共有すると、退職や担当の交代のたびにパスワードを変える必要が出ます。更新する人ごとにアカウントを作り、管理者の権限は必要な人だけにします。
- サーバーとドメインのログインも同じ扱いにする サーバーやドメインの管理画面に入られると、サイトごと書き換えられます。こちらも強いパスワードにし、2 段階認証があれば使います。
最初にやること 3：HTTPS（SSL）にする
HTTPS は、見る人のブラウザとサイトの間の通信を暗号化する仕組みです（SSL 化とも呼ばれます）。Google Chrome の開発チームのブログ（Chromium Blog）は、2018 年 7 月の Chrome 68 から、HTTP のサイトをすべて「保護されていない通信」と表示すると告知しました。問い合わせフォームのあるサイトでは、入力した内容を送る通信を守る意味もあります。
検索との関係では、Google は 2014 年に HTTPS をランキングのシグナルとして使い始めると発表しています。ただし同じ発表で、影響は全世界の検索の 1% 未満と非常に小さく、質の高いコンテンツなどほかのシグナルより重みは小さいとも書いています。HTTPS にするのは順位のためというより、見る人に警告を出させないためと考えるのが実態に合います。
多くのレンタルサーバーには、無料の証明書で HTTPS にする機能があります。有効にしたら、http で始まる URL を開いたときに https へ転送されるかも確かめます。
最初にやること 4：バックアップを取る
WordPress の解説は、データベースを含めて定期的にバックアップを取るよう勧めています。改ざんや操作の誤りがあっても、バックアップがあれば元の状態に戻せます。
サーバー会社の自動バックアップがある場合も、何日分が残るのか、戻すときに費用がかかるのかを確かめておきます。戻し方を知らないバックアップは、いざというときに使えません。
最初にやること 5：異常に気づける状態にする
Google の Search Console に自社のサイトを登録しておくと、Google がハッキングなどのセキュリティの問題を見つけたときに「セキュリティの問題」レポートに表示されます。問題を直したあとの再審査の依頼も、ここから行います。
あわせて、ときどき自社のサイトを外から開いて、見覚えのないページや、知らない広告・リンクが増えていないかを見ます。
誰がやるかを決めておく
対策そのものより抜けやすいのが、担当の決めごとです。制作会社や保守の担当に任せる場合も、何を任せていて、何が自社に残るのかを書き出しておきます（この記事での整理）。
| 対策 | 決めておくこと |
|---|---|
| ソフトの更新 | 誰が、どのくらいの間隔で当てるか。更新で表示が崩れたときに誰が直すか |
| パスワード | 管理画面・サーバー・ドメインのログイン情報を自社でも持っているか。担当が替わったときに変えるか |
| HTTPS | 証明書の更新が自動か。期限切れの通知が誰に届くか |
| バックアップ | 何日分を、どこに残すか。戻す作業を誰がするか |
| 異常の確認 | Search Console の通知を誰が受け取るか。改ざんに気づいたときの連絡先 |
保守を頼むときの費用の考え方は ホームページの維持費 で整理しています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、この記事の更新・パスワード・バックアップを、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
