ホームページのセキュリティ対策｜最低限やること・費用・チェックリスト【2026年】

ホームページのセキュリティ対策は、大企業やECサイトだけに必要なものではありません。会社案内を掲載する小規模なホームページでも、WordPressの脆弱性、不正ログイン、サイト改ざん、フォームへのスパム送信などの被害に遭う可能性があります。

ホームページを安全に運営するには、単にSSLを導入するだけでは不十分です。CMSやプラグインの更新、多要素認証、アクセス権限の管理、WAF、バックアップ、ログ監視など、複数の対策を組み合わせる必要があります。

最低限確認したい対策は、次の7項目です。

• WordPressなどのCMS・テーマ・プラグインを最新状態にする
• 管理画面に多要素認証を導入する
• 不要なアカウント・プラグイン・ファイルを削除する
• 常時SSL、WAF、アクセス制限を適切に設定する
• サーバーとは別の場所にバックアップを保存する
• 不正アクセスや改ざんを早期発見できる監視体制を整える
• 被害発生時の連絡先と復旧手順を決めておく

この記事では、ホームページに必要なセキュリティ対策、費用相場、確認方法、WordPressで注意すべきポイント、不正アクセスが発生した場合の初動対応まで、実務担当者向けにわかりやすく解説します。

ホームページのセキュリティ対策チェックリスト

最初に、自社ホームページの状態を確認してみましょう。すべての項目を一度に完璧にする必要はありませんが、優先度が高い項目から順番に対応することが重要です。

特に「CMSの更新」「多要素認証」「バックアップ」「緊急時の連絡体制」が未整備の場合は、優先して対応してください。

ホームページにセキュリティ対策が必要な理由

企業規模に関係なく自動的な攻撃対象になるため

サイバー攻撃の対象は、知名度の高い企業だけではありません。インターネット上では、攻撃者が自動化されたプログラムを使って、脆弱性のあるCMSやログイン画面を広範囲に探索しています。

そのため、「小さな会社だから狙われない」「個人情報を大量に保有していないから問題ない」とは限りません。古いWordPressやプラグインを使っているだけで、攻撃対象になる可能性があります。

2026年7月22日には、IPAからWordPressの脆弱性に関する注意喚起が公開され、影響を受けるバージョンについて速やかな更新が推奨されました。WordPressの自動更新が有効でも、環境によっては更新に失敗することがあるため、管理画面で実際のバージョンを確認する必要があります。

参考：IPA「WordPressの脆弱性対策について」

個人情報や機密情報が漏洩する可能性があるため

お問い合わせフォーム、資料請求フォーム、会員登録、採用エントリーなどを設置しているホームページでは、氏名、メールアドレス、電話番号、住所などの個人情報を取り扱います。

フォームや管理画面の脆弱性を悪用されると、第三者に情報を閲覧・取得される可能性があります。情報漏洩が発生すれば、原因調査や利用者への連絡、再発防止、法令上の報告対応が必要となり、企業活動にも大きな影響を及ぼします。

サイト改ざんや攻撃の踏み台に使われるため

ホームページが侵害されると、ページ内容を書き換えられるだけでなく、フィッシングページや不正なプログラムを設置されることがあります。

自社が直接の被害者になるだけでなく、サイト訪問者へのマルウェア配布や、別のサイトを攻撃するための踏み台として利用される可能性もあります。

サービス停止や信用低下につながるため

ホームページが表示されなくなると、問い合わせ、予約、採用応募、商品の購入などが停止します。復旧までの期間が長引けば、機会損失も拡大します。

また、検索結果やブラウザ上にセキュリティ警告が表示されれば、利用者や取引先から不安を持たれ、企業の信用にも影響します。

ホームページで実施すべき12のセキュリティ対策

ホームページの安全性を高めるには、一つの製品やサービスだけに頼るのではなく、予防、検知、復旧の対策を組み合わせることが重要です。

1．CMS・テーマ・プラグインを更新する

WordPressなどのCMSでは、発見された脆弱性を修正するために、継続的にアップデートが公開されています。

WordPress本体だけを更新していても、テーマやプラグインが古いままでは脆弱性が残ることがあります。使用しているすべてのソフトウェアについて、更新状況を確認してください。

ただし、更新によって表示崩れや機能停止が発生する場合があります。本番環境を直接更新するのではなく、バックアップを取得し、可能であれば検証環境で動作確認してから反映します。

2．不要なプラグイン・テーマ・アカウントを削除する

停止中のプラグインや未使用のテーマであっても、サーバー上にファイルが残っていれば、脆弱性を悪用される可能性があります。

使用していないプラグインやテーマは停止だけでなく削除し、退職者、制作会社の旧担当者、テスト用など、不要になったアカウントも整理しましょう。

3．長く固有のパスワードと多要素認証を使う

管理画面やサーバーのパスワードには、他のサービスで使用していない長く固有の文字列を設定します。パスワード管理ツールを利用すれば、複数の複雑なパスワードを安全に管理しやすくなります。

現在のセキュリティ指針では、根拠なく短期間でパスワード変更を繰り返すよりも、使い回しを避け、漏洩や不正利用の疑いがある場合に速やかに変更することが重視されています。

さらに、認証アプリなどを使った多要素認証を設定してください。パスワードが漏洩しても、別の認証要素がなければログインできない状態を作れます。

参考：NIST SP 800-63B

4．管理画面へのアクセスを制限する

管理画面には、IPアドレス制限、ログイン試行回数制限、Basic認証、接続元の制限などを設定できます。

固定IPアドレスを利用できない場合でも、多要素認証やログイン試行回数制限を導入することで、不正ログインのリスクを抑えられます。

アカウントごとに必要最小限の権限を設定し、記事更新だけを担当する人に管理者権限を与えないことも重要です。

5．常時SSLを導入する

常時SSLは、ブラウザとWebサーバー間の通信を暗号化する仕組みです。お問い合わせフォームなどで送信される情報を、通信途中で第三者に読み取られるリスクを抑えます。

ただし、SSLはWordPressの脆弱性、不正ログイン、SQLインジェクション、マルウェア感染を直接防ぐ仕組みではありません。SSLを導入しているから安全だと判断せず、ほかの対策と組み合わせてください。

SSL証明書の有効期限切れ、httpページの混在、誤ったリダイレクト設定なども定期的に確認します。

6．WAFを導入する

WAFは、Webアプリケーションへの通信内容を確認し、不正と判断した通信を検知・遮断する仕組みです。SQLインジェクションやクロスサイトスクリプティングなど、Webサイトを狙う攻撃への対策として利用されます。

レンタルサーバーに標準搭載されている場合もありますが、有効化されているか、設定が適切かを確認する必要があります。

WAFだけですべての攻撃を防げるわけではありません。CMS更新、アクセス制限、入力値検証、ログ監視などと併用してください。

7．フォームのスパム対策と入力値検証を行う

お問い合わせフォームには、迷惑メールの大量送信、機械的な連続送信、不正な文字列の入力などのリスクがあります。

主な対策は次のとおりです。

• reCAPTCHAなどのボット対策
• 送信回数や送信間隔の制限
• 入力文字数・形式のチェック
• 不正なスクリプトやSQLを処理しない入力値検証
• 確認画面やトークンを利用した不正送信対策
• フォームに不要な個人情報を入力させない設計

フォームから送信された個人情報をメールに長期間保存し続ける運用も見直しましょう。

8．サーバー・PHP・データベースを更新する

WordPress本体が最新でも、PHP、データベース、サーバーOSが古い場合は、セキュリティ上の問題が残ります。

提供元のサポートが終了したバージョンは、脆弱性が見つかっても修正されない可能性があります。サーバー会社や制作会社に確認し、サポート対象のバージョンへ計画的に移行してください。

9．バックアップと復元テストを行う

バックアップは、サイト改ざん、操作ミス、サーバー障害、更新失敗などが発生した場合の復旧に欠かせません。

バックアップする主な対象は次のとおりです。

• WordPressなどのプログラムファイル
• アップロードした画像・PDF・動画
• データベース
• サーバー設定
• DNSやSSLに関する設定情報

バックアップは、運用中のサーバーとは別の保存先に保管します。複数世代を保存し、定期的に復元できるか確認してください。バックアップを取得していても、復元方法が不明だったりデータが破損していたりすれば、緊急時に利用できません。

10．ログ監視と改ざん検知を行う

アクセスログや管理画面の操作履歴を確認すると、不正ログイン、異常なアクセス、ファイル変更などの兆候を把握できます。

確認すべき主な項目は次のとおりです。

• 同じ接続元からの大量ログイン試行
• 通常とは異なる国や地域からのログイン
• 管理者アカウントの新規作成
• 不審なファイルの追加や変更
• アクセス数やサーバー負荷の急増
• 大量のメール送信

ログを保存するだけでなく、異常が発生した際に誰が確認し、どこへ連絡するかまで決めておくことが重要です。

11．脆弱性診断を実施する

脆弱性診断では、ホームページやWebシステムに既知の弱点や設定不備がないかを確認します。

一般的なコーポレートサイトでは、CMS、プラグイン、フォーム、サーバー設定などが主な対象です。会員機能、決済機能、予約機能などを備えたWebシステムでは、より詳細な診断が必要になります。

脆弱性診断は弱点を網羅的に探す作業で、ペネトレーションテストは攻撃者の視点から侵入可能性や影響範囲を検証する作業です。診断目的や対象範囲を明確にして依頼しましょう。

12．社内の運用ルールと緊急対応手順を整備する

技術的な対策を行っていても、パスワードの共有、退職者アカウントの放置、誤操作、フィッシングメールなどが原因で被害が発生することがあります。

次の内容を社内ルールとして整理してください。

• アカウントの発行・変更・削除手順
• 管理者権限を付与する条件
• パスワードや認証情報の管理方法
• 更新作業前のバックアップ手順
• 不審なメールや画面を発見した場合の報告先
• サイト停止時の社内外への連絡方法

WordPressのセキュリティ対策で特に注意すべきこと

WordPressは本体だけでなく、テーマ、プラグイン、PHP、データベース、サーバーを組み合わせて動作しています。WordPress本体だけを更新しても、サイト全体の安全が保証されるわけではありません。

更新前にバックアップと動作確認を行う

WordPressのアップデートでは、使用中のテーマやプラグインとの互換性問題が発生する場合があります。

更新前にファイルとデータベースのバックアップを取得し、重要なサイトでは検証環境で次の項目を確認します。

• トップページや下層ページの表示
• お問い合わせフォームの送信
• 管理画面へのログイン
• 投稿・編集・画像アップロード
• 会員登録、予約、決済などの主要機能

自動更新だけに任せず結果を確認する

自動更新を有効にしていても、サーバー環境、権限設定、容量不足、プラグインの競合などが原因で更新に失敗することがあります。

更新通知を受け取れる状態にし、管理画面でバージョンと更新結果を確認してください。

セキュリティプラグインを入れすぎない

複数のセキュリティプラグインを導入すると、機能が競合したり、サイト表示が遅くなったり、正規の通信まで遮断したりすることがあります。

目的を明確にして必要な機能だけを導入し、サーバー側のWAFやアクセス制限と役割が重複していないか確認しましょう。

制作会社が不明でも放置しない

制作会社との契約が終了している、担当者が退職した、管理画面やサーバーの情報が分からないといった場合でも、そのまま放置するのは危険です。

まずは、ドメイン、サーバー、WordPress管理画面、バックアップの契約・管理状況を整理し、引き継ぎ可能な保守会社へ相談してください。

ホームページのセキュリティを確認する方法

セキュリティ対策は、一度設定して終わりではありません。定期的に状態を確認し、不足している対策を改善する必要があります。

ブラウザに鍵マークが表示されていても、WordPressやプラグインに脆弱性がないとは限りません。管理画面、サーバー、ログ、バックアップまで含めて確認することが重要です。

ホームページのセキュリティ対策にかかる費用相場

セキュリティ対策の費用は、ホームページの規模、CMSの種類、会員・決済機能の有無、サーバー環境、監視範囲によって異なります。

一般的な費用の目安は次のとおりです。

費用を比較する際は、金額だけでなく、次の内容が含まれているか確認してください。

• 更新前のバックアップ
• 更新後の動作確認
• 不具合が発生した場合の復旧
• バックアップデータの保存場所と保存期間
• 障害や改ざんを発見した場合の連絡
• 緊急対応の受付時間と追加料金

月額料金が安くても、復旧対応や原因調査がすべて別料金であれば、事故発生時の費用が高額になる可能性があります。

不正アクセスや改ざんが発生した場合の初動対応

ホームページに異常を発見した場合、慌ててファイルを削除したり、すぐにバックアップを上書きしたりすると、原因調査に必要な情報を失う可能性があります。

次の順番を基本として対応します。

1. 被害の拡大を防ぐため、該当サイトや機能を停止・隔離する
2. アクセスログ、エラーログ、不審なファイルなどの証拠を保存する
3. サーバー会社、制作会社、保守会社、社内責任者へ連絡する
4. 管理画面、サーバー、FTP、データベースなどの認証情報を変更する
5. 侵入経路、被害範囲、情報漏洩の有無を調査する
6. 安全なバックアップを確認して復旧する
7. 脆弱性修正と再発防止策を実施する
8. 必要に応じて利用者、取引先、関係機関へ連絡・報告する

個人情報が漏洩した可能性がある場合

個人データの漏洩や漏洩のおそれが発生し、法令上の報告対象に該当する場合は、個人情報保護委員会への報告や本人への通知が必要です。

報告期限の目安は、発覚後おおむね3～5日以内の速報と、原則30日以内の確報です。不正な目的で行われたおそれがある場合の確報期限は60日以内とされています。

報告義務の有無は被害内容によって異なるため、専門家や個人情報保護委員会の案内を確認してください。

参考：個人情報保護委員会「漏えい等の対応とお役立ち資料」

ECサイトでカード情報を扱う場合

ECサイトでは、Webサイトの脆弱性対策に加え、不正ログイン対策やEMV 3-Dセキュアなど、決済に関する対策も必要です。

カード情報を自社サーバーに保存していない場合でも、ECサイトや決済画面への不正な誘導、アカウント乗っ取りなどのリスクがあります。

参考：日本クレジット協会「EC加盟店に求められるセキュリティ対策」

セキュリティ対策を制作会社・保守会社へ依頼すべきケース

次のいずれかに該当する場合は、自社だけで対応せず、ホームページの保守やセキュリティに対応できる会社へ相談することをおすすめします。

• WordPressやPHPのバージョンが分からない
• 1年以上CMSやプラグインを更新していない
• 制作会社との契約が終了し、保守担当者がいない
• バックアップの取得状況や復元方法が分からない
• お問い合わせフォームや会員機能で個人情報を扱っている
• EC、予約、決済、会員管理などの機能がある
• 不審なファイル、画面、メール送信を確認した
• 過去に改ざんや不正アクセスの被害を受けた

保守会社を選ぶ5つのポイント

• WordPressだけでなくサーバーやPHPにも対応できるか
• バックアップ取得だけでなく復元作業まで対応するか
• 障害や改ざん発生時の連絡方法が明確か
• ドメインやサーバーの契約情報を適切に管理してくれるか
• 作業内容やセキュリティ上の問題を定期的に報告するか

月額料金だけで選ばず、対象範囲、作業時間、緊急対応、追加費用、契約終了時の引き継ぎ条件まで確認しましょう。

ホームページの保守・セキュリティ対策はファーストネットジャパンへ

株式会社ファーストネットジャパンは、大阪・東京を拠点に、ホームページ制作、システム開発、Webマーケティング、運用保守を提供する総合デジタル企業です。

1998年の創業以来、累計4,000件を超えるプロジェクトに携わってきました。新規制作だけでなく、他社が制作したホームページの引き継ぎ、WordPress更新、サーバー管理、バックアップ、障害調査にも対応しています。

ホームページの構成や運用状況を確認したうえで、次のような対策を組み合わせてご提案します。

• WordPress本体・テーマ・プラグインのアップデート
• 更新前のバックアップと動作確認
• 常時SSL、WAF、アクセス制限の確認
• サーバー、PHP、データベースの運用管理
• 不具合や表示崩れの調査・修正
• 他社制作サイトの保守引き継ぎ
• ホームページの更新・改善

ファーストネットジャパンのホームページ保守サービスはこちら

関連記事

• ホームページ保守会社おすすめ10選｜費用・料金相場と失敗しない選び方
• WordPressとは？初心者にもわかりやすく基本を解説
• Cookieとは？仕組み・種類・個人情報との関係を解説

ホームページのセキュリティ対策に関するよくある質問

小規模なホームページにもセキュリティ対策は必要ですか？

必要です。攻撃者は企業規模ではなく、古いCMSやプラグイン、推測しやすいパスワード、保護されていない管理画面などを自動的に探しています。会社案内だけのホームページでも、改ざんやスパム送信の踏み台に利用される可能性があります。

SSLを導入すればホームページは安全になりますか？

SSLはブラウザとWebサーバー間の通信を暗号化する対策であり、WordPressの脆弱性、不正ログイン、マルウェア感染を直接防ぐものではありません。CMS更新、多要素認証、WAF、バックアップ、ログ監視などと組み合わせる必要があります。

WordPressはどのくらいの頻度で更新すべきですか？

重要なセキュリティ更新が公開された場合は、影響範囲を確認したうえで速やかに対応します。通常時も定期的に管理画面を確認し、本体、テーマ、プラグインを更新してください。更新前にはバックアップを取得し、重要なサイトでは検証環境で動作確認します。

ホームページのセキュリティ対策費用はいくらですか？

基本設定やWordPress更新は数万円程度、月額保守は2万円～10万円程度、脆弱性診断は5万円～30万円以上が目安です。会員機能、決済機能、予約機能などがあるサイトは、診断範囲や監視範囲が広くなるため費用も高くなります。

ホームページが改ざんされたら最初に何をすべきですか？

被害拡大を防ぐためにサイトや該当機能を停止し、ログや不審なファイルなどの証拠を保存してください。その後、サーバー会社、制作会社、保守会社へ連絡し、侵入経路と被害範囲を調査します。原因が分からない状態でファイルを削除したり、バックアップを上書きしたりしないことが重要です。

セキュリティ対策は自社対応と外注のどちらがよいですか？

アカウント整理や社内ルール作成などは自社でも対応できます。一方、CMS更新、サーバー管理、WAF設定、ログ分析、脆弱性診断、緊急復旧には専門知識が必要です。社内に担当者がいない場合や個人情報を扱う場合は、制作会社や保守会社への外注をおすすめします。

まとめ

ホームページのセキュリティ対策では、CMSやプラグインの更新、多要素認証、常時SSL、WAF、バックアップ、ログ監視などを組み合わせることが重要です。

特にWordPressは、本体だけでなくテーマ、プラグイン、PHP、データベース、サーバー環境まで含めて管理する必要があります。自動更新を設定していても、実際に更新が完了しているか、サイトが正常に動作しているかを確認しましょう。

また、セキュリティ事故を完全に防ぐことだけでなく、異常を早期に発見し、安全なバックアップから復旧できる体制を整えることも欠かせません。

株式会社ファーストネットジャパンでは、他社が制作したホームページの保守引き継ぎ、WordPress更新、バックアップ、サーバー管理、不具合調査まで対応しています。ホームページの管理状況やセキュリティに不安がある場合は、お気軽にご相談ください。