最終更新：10 月 27 日 19:30（日本時間）
すぐ見る：よくある疑問 ／ 納品時の設定 ／ 公開後の更新 ／ 約束していないこと ／ 依頼先に確かめること ／ 技術的な詳細
ひとことで言うと
SITE PICK のサイトは、安全のための設定を済ませてからお渡しします
- 公開する時点で最新の WordPress と、セキュリティの修正がまだ続いている PHP で作ります
- 勝手にログインされるのを防ぐ設定など 6 つを、保守プランを契約するかどうかに関係なく、すべてのサイトに無料で行います
- 公開したあとも新しい弱点は見つかるので、更新を続けることが欠かせません。SITE PICK では公開から 3 か月の動作保証があり、そのあとは自分で更新するか、保守プランなどで任せるかを選べます
どうすればいい？
よくある疑問と答え
-
納品されたサイトは安全？
すでに知られている弱点が残らないよう、最新の版で作ってからお渡しします。ただ、公開したあとに新しい弱点（脆弱性）が見つかることはあるので、更新を続けることが前提です。
→ 納品時に行う設定 -
どんな設定をしてくれる？
ログイン ID を外から分からなくする、ログインの失敗が続いたら止める、管理画面からプログラムを書き換えられなくする、などの 6 つです。
→ 6 つの設定と、それぞれの目的 -
保守プランに入らないと危ない？
納品時の設定は、保守プランに入らなくても行います。WordPress 本体のセキュリティの修正も、自動で入るようにしておきます。ただ、プラグインや PHP の更新は誰かが続ける必要があるので、自分で行うか、任せるかを決めてください。
→ 公開後の更新の選び方 -
改ざんされたらどうなる？
保守プランでは、サイトを止める・バックアップから戻す・パスワードを変える、といった最初の対応（復旧の初動）を行います。原因の調査や駆除は、別にお見積りします。
→ 約束していないこと・別料金のこと -
WordPress は危ないと聞くけど？
弱点が多く見つかるのは、使っている人もプラグインも多いからでもあります。本体には自動更新などの仕組みがあり、更新を続けているかどうかで安全性は大きく変わります。
→ 「WordPress は危険？」の記事 -
今使っているサイトが心配なときは？
SITE PICK の無料の WordPress 脆弱性診断で、外から見える範囲の弱点を確かめられます。SITE PICK で作ったサイトでなくても使えます。
→ 無料の WordPress 脆弱性診断
詳しくは：納品時に行う設定 ／ SITE PICK が約束していないこと ／ どこに頼む場合でも確かめたいこと
この記事では、SITE PICK が納品するサイトのセキュリティ対策について、納品時に行う設定、公開後の更新、約束していないことの順にまとめます。もとにしたのは、SITE PICK が公開しているページ（保守・運用サポート、保守サービス約款）と、WordPress・PHP の公式資料です。
納品するサイトに行う設定
SITE PICK が納品するサイトは、公開する時点で最新の WordPress と、セキュリティの修正がまだ続いている PHP で作ります。テーマと使うプラグインも、公開する時点の最新版にそろえます。古い版のままお渡しすると、すでに知られている弱点を抱えたまま公開することになるからです。
そのうえで、次の 6 つの設定を、保守プランを契約するかどうかに関係なく、すべてのサイトに無料で行います。どれも、勝手にログインされたり、管理画面から書き換えられたりする被害を防ぐためのものです。
| 設定 | 目的 |
|---|---|
| XML-RPC の無効化 | 外部のアプリから記事を投稿するための古い仕組みを止めます。パスワードを総当たりで試す攻撃によく使われるためです |
| ログイン ID を外から分からなくする | 投稿者名などからログイン ID を読み取られないようにします。ID が知られると、あとはパスワードを当てるだけになってしまうためです |
| ログイン試行回数の制限 | ログインの失敗が続いた相手を止めます。機械でパスワードを次々に試す攻撃への備えです |
| 自動更新の設定 | WordPress 本体のセキュリティの修正が出たら、自動で入るようにします。更新を忘れていても、本体の修正は当たります |
| 管理画面からのファイル編集の無効化 | 管理画面からテーマやプラグインのプログラムを書き換えられないようにします。万一ログインされても、悪意のあるプログラムを仕込まれにくくなります |
| 二段階認証の設定の案内 | パスワードに加えて、スマートフォンのアプリなどでの確認を求める設定の手順をお伝えします。パスワードが漏れても、それだけではログインできなくなります |
二段階認証は、管理画面に入る人ごとに設定するものです。そのため SITE PICK は手順をお伝えし、設定するかどうかはお客様に決めていただきます。管理画面に入る人が何人もいる会社ほど、全員が設定しておくと安心です。
同じ一覧は 「保守・運用サポート」のページ にも載せています。
公開したあとの更新
サイトは、公開したあとも新しい弱点が見つかります。WordPress 公式ドキュメントによると、古い版の WordPress にはセキュリティの更新が提供されません。公開後の更新を誰が続けるのかを、はじめに決めておくことが大切です。
SITE PICK では、公開日から 3 か月の動作保証が料金に含まれています。表示の崩れや、公開した時点で付いていた機能が動かないといった不具合を直します。保証の期間が終わったあとは、次の 3 つから選べます。
| 選び方 | 向いている会社と、やること |
|---|---|
| 自分で更新する | 社内に WordPress の管理画面を操作できる人がいる会社に向いています。本体の修正は自動で入るので、プラグインとテーマの更新、サーバーの PHP の版の確認を、月に 1 回ほど行います |
| 必要なときだけ頼む | ふだんは自分で管理し、困ったときだけ相談したい会社に向いています。SITE PICK のスポット対応で、作業ごとにお見積りしてから進めます |
| 保守プランで任せる | 更新や監視を任せたい会社に向いています。毎日のバックアップ、稼働の確認、改ざんのチェック、マルウェアスキャン、プラグインの更新、脆弱性の修正版の適用などを SITE PICK が行い、毎月ご報告します（Lite・Standard） |
保守プランで行うことの一覧とプランの違いは 「保守・運用サポート」、料金は 「プラン・料金」 に載せています。契約は月単位で、最低契約期間はありません。
大きな脆弱性が見つかったときは、何が起きたかとやることを 「最近のサイバー攻撃と対策」 にまとめています。PHP の脆弱性の件は 「PHP の重大な脆弱性」 で続報を追っています。
SITE PICK が約束していないこと
約束していないことも、先にお伝えします。SITE PICK が納品時や保守プランで行う作業は、不具合や不正アクセスが起きないことを保証するものではありません。どれだけ対策をしても、まだ誰にも知られていない弱点を突かれることはあるからです。そのうえで、被害を受けにくくすること、もし起きても早く気づいて元に戻せることを目指しています。
- サイトで受け付けた個人情報（問い合わせ・予約・会員など）の管理と、事故が起きたときの対応は、保守プランの対象外です
- EC・会員・予約・決済・多言語などのシステム機能は、月額の保守プランではお受けせず、個別にお見積りします
- 改ざんされたプログラムの駆除と原因の調査は、保守プランには含まれず、個別にお見積りします
- お客様や、お客様が依頼した別の会社の編集が原因の不具合は、保証と保守の対象外です
- サーバー・ドメイン・メールなど外部のサービスの障害と設定は、それぞれのサービスの範囲です。サーバーはお客様の名義・ご負担で契約していただきます
- 脆弱性の修正版の適用は「着手を目標」としていて、何時間以内といった期限はお約束していません
細かな条件は 「保守サービス約款」 に書いています。
どこに頼む場合でも確かめたいこと
ホームページ制作のセキュリティ対策は、依頼する会社によって中身が大きく違います。SITE PICK に限らず、依頼先を比べるときに聞いておきたいことを表にしました（この記事での整理）。右の列は SITE PICK の場合です。
| 確かめること | SITE PICK の場合 |
|---|---|
| どの版で納品するか | 公開する時点で最新の WordPress と、セキュリティの修正が続いている PHP。テーマとプラグインも最新版 |
| ログインまわりの対策 | XML-RPC の無効化、ログイン ID を隠す設定、試行回数の制限、ファイル編集の無効化、二段階認証の案内を、すべてのサイトに無料で |
| 更新を誰が続けるか | 本体のセキュリティの修正は自動。プラグインと PHP は、自分で更新する・必要なときだけ頼む・保守プランで任せる、から選べる |
| 保証の中身と期間 | 公開日から SITE PICK の 3 か月の動作保証（料金に含む）。表示の崩れと、公開時点の機能の不具合を直す |
| バックアップと、事故のときの初動 | 保守プランで、毎日のバックアップと復旧の初動。駆除と原因の調査は個別にお見積り |
| 約束していないことが書いてあるか | 不正アクセスが起きないことは約束していない。対象外のことは、保守サービス約款と「保守・運用サポート」のページに書いている |
「セキュリティは万全です」とだけ言われたときは、表のそれぞれについて、何を、いつ、誰が行うのかを聞いてみてください。答えが具体的な依頼先ほど、公開したあとに困ることが少なくなります。
技術的な詳細（サイトの担当者向け）
社内の担当者や、別の会社に確かめてもらうときのために、納品時の設定を WordPress・PHP の用語で説明します。
- XML-RPC：WordPress 公式ドキュメントでは、xmlrpc.php はブルートフォース攻撃（総当たり）の標的になりやすく、特に system.multicall メソッドが狙われるとして、使っていなければ無効にするよう勧めています。Jetpack やスマートフォンのアプリで使う場合は、無効にせず WAF のルールで制限する方法もあります
- ログイン ID：/?author=1 のような投稿者アーカイブの URL からの転送、REST API の /wp-json/wp/v2/users の一覧、ログイン ID と同じ表示名、の 3 つから ID が分かることがあります。これらから読み取れないようにします
- ログイン試行回数の制限：WordPress 公式ドキュメントでは、WAF・CDN やウェブサーバーの段階で wp-login.php と xmlrpc.php への試行を絞ることを先に勧め、それができない場合にセキュリティ用のプラグインで絞る、という順にしています。プラグインは PHP の中で動くため、大量の攻撃を受けるとサーバーの負荷になるからです。SITE PICK も、サーバーの機能を優先して使います
- 自動更新：WordPress 公式ドキュメントによると、WordPress 5.6 からは、新しく入れたサイトでマイナー更新（保守とセキュリティのリリース）とメジャー更新の両方の自動更新が、初期設定で有効です。納品時に、少なくともマイナー更新の自動更新が有効になっていることを確かめます。プラグインの自動更新をどこまで有効にするかは、サイトの構成を見て決めます
- ファイル編集の無効化：wp-config.php に define( 'DISALLOW_FILE_EDIT', true ); を書きます。WordPress 公式ドキュメントでは、すべてのユーザーから edit_themes・edit_plugins・edit_files の権限を外すのと同じ働きだとしています。一方で、悪意のあるファイルのアップロードまでは防げず、一部の攻撃を止めるものだとも書いています
- 二段階認証：WordPress 公式ドキュメントでは、二段階認証（2 要素認証とも呼ぶ）を、ログインの守りを強める方法として紹介しています。WordPress 本体には入っていないので、プラグインで設定します
- PHP の版：PHP 公式サイトの一覧では、セキュリティの修正が出る期限は、8.2 が 2026 年 12 月 31 日、8.3 が 2027 年 12 月 31 日、8.4 が 2028 年 12 月 31 日、8.5 が 2029 年 12 月 31 日です（2026 年 10 月 27 日に確認）。期限を過ぎた版は、新しい弱点が見つかっても直されません
PHP の版の確かめ方と上げ方は 「PHP のバージョンの確かめ方と上げ方」、バックアップの取り方は 「WordPress のバックアップの取り方」、中小企業がはじめにやる対策は 「ホームページのセキュリティ対策」 にまとめています。
次に読む：「ホームページの保守」 ／ 完成サイトを見る
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、サーバーの設定やログインまわりの対策、公開後の更新を、自分で調べて続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
