「ホームページのセキュリティ対策って、何をすればいいの？」
そう思っている個人事業主や中小企業の方、多いのではないでしょうか。
「うちは小さな会社だからサイバー攻撃なんて関係ない」と思いがちですが、実は小規模なサイトほど狙われやすいのが現実です。セキュリティが甘いサイトは、攻撃者にとって「入りやすい」ターゲットだからです。
この記事では、専門知識がなくても始められるHPのセキュリティ対策の基本をわかりやすく解説します。
この記事でわかること
- なぜ小規模なHPでもセキュリティ対策が必要なのか
- 最低限やるべきセキュリティ対策6つ
- WordPressサイトで特に気をつけるべきこと
- セキュリティ対策のチェックリスト
なぜ小さなHPでもセキュリティ対策が必要なの？
「大企業じゃないし、うちのHPには盗まれるような情報もないから大丈夫」——そう考えていると、とても危険です。
実際に小規模サイトが攻撃を受けると、以下のような被害が発生します。
- HPが改ざんされて、怪しいサイトに転送される：訪問者がウイルス感染する危険性があり、あなたのビジネスの信用が失墜します
- お問い合わせフォームから個人情報が漏洩する：お客さんの名前やメールアドレスが流出するリスクがあります
- HPが表示されなくなる：サーバーがダウンして、ビジネス機会を逃してしまいます
- 迷惑メールの踏み台にされる：あなたのサーバーから大量のスパムメールが送信される場合もあります
こうした被害を受けると、復旧に時間とお金がかかるだけでなく、お客さんからの信頼を一気に失ってしまう可能性があります。
だからこそ、規模に関係なくセキュリティ対策は必須なのです。
最低限やるべきセキュリティ対策6つ
専門的な知識がなくても実践できる、基本的なセキュリティ対策を6つ紹介します。
対策1：SSL化（https化）は絶対にやる
SSL化とは、HP上でやり取りされるデータを暗号化する仕組みのことです。URLが「http://」ではなく「https://」で始まるサイトはSSL化されています。
SSL化していないHPでは、お問い合わせフォームに入力された情報が暗号化されずに送信されるため、途中で盗み見られるリスクがあります。
さらに、GoogleはSSL化されていないサイトに対して、ブラウザに**「保護されていない通信」という警告を表示**します。この警告を見たお客さんは、不安になってページを離れてしまうでしょう。
現在、ほとんどのレンタルサーバーで無料のSSL証明書が利用できます。まだ対応していない場合は、最優先で取り組みましょう。
対策2：パスワードを強化する
HPの管理画面やサーバーのパスワードが「123456」や「password」のような簡単なものになっていませんか？
安全なパスワードのルールはシンプルです。
- 12文字以上にする
- 英大文字・小文字・数字・記号を組み合わせる
- 推測されやすい単語（会社名、誕生日など）を使わない
- 他のサービスと同じパスワードを使い回さない
パスワードの管理が大変なら、パスワードマネージャーを使うのがおすすめです。1PasswordやBitwardenなどのツールを使えば、複雑なパスワードを安全に管理できます。
対策3：ソフトウェアを最新に保つ
HPに使われているソフトウェア（CMS、プラグイン、テーマなど）は、常に最新版にアップデートしておきましょう。
ソフトウェアのアップデートには、新機能の追加だけでなくセキュリティの修正が含まれていることが多いです。古いバージョンのまま放置していると、既知の脆弱性を突かれて攻撃されるリスクが高まります。
アップデートの際は、バックアップを取ってから行うようにしてください。まれにアップデートでサイトの表示が崩れることがあるためです。
対策4：お問い合わせフォームにスパム対策を入れる
お問い合わせフォームは、ボット（自動プログラム）によるスパム投稿のターゲットになりやすい場所です。
スパム対策として効果的なのが、reCAPTCHAの導入です。Googleが無料で提供しているこの仕組みを使えば、人間とボットを自動的に判別して、スパム投稿を大幅に減らすことができます。
また、フォームの入力項目を必要最低限にすることも大切です。不要な情報まで入力させると、万が一漏洩した際の被害が大きくなります。
対策5：定期的なバックアップを取る
万が一HPが攻撃を受けて改ざんされたり、データが壊れたりしても、バックアップがあれば元の状態に復元できます。
バックアップは以下のように取るのがおすすめです。
- 週に1回以上の頻度でバックアップ
- サーバー上だけでなく、別の場所にも保存する
- バックアップデータが正しく復元できるか、定期的に確認する
多くのレンタルサーバーには自動バックアップ機能がありますが、それだけに頼らず、自分でもバックアップを取っておくと安心です。
対策6：アクセス権限を適切に管理する
HPの管理画面にアクセスできる人は、必要最小限にしましょう。
例えば、ブログの更新だけを担当するスタッフに、サイト全体の設定を変更できる管理者権限を与える必要はありません。役割に応じた権限を設定することで、操作ミスや内部からの情報漏洩のリスクを減らせます。
また、退職したスタッフのアカウントが残っている場合は、すぐに削除しましょう。
WordPressサイトで特に注意すべきこと
WordPressは世界中で広く使われているCMSですが、その分攻撃のターゲットにもなりやすいという側面があります。WordPressサイトを運営している場合は、以下の点にも注意してください。
ログインURLを変更する
WordPressのデフォルトのログインURLは「/wp-admin/」や「/wp-login.php」です。攻撃者はこれを知っているので、ログインURLを独自のものに変更することで、不正ログインのリスクを下げられます。
「SiteGuard WP Plugin」などのセキュリティプラグインを使えば、簡単に変更できます。
ログイン試行回数を制限する
パスワードを何度も試すブルートフォース攻撃を防ぐために、ログインの試行回数を制限しましょう。例えば「5回連続で間違えたら30分間ロック」のような設定ができるプラグインがあります。
使っていないプラグインやテーマを削除する
インストールしたまま使っていないプラグインやテーマは、脆弱性の温床になります。無効化しているだけでは不十分で、完全に削除するのがベストです。
必要なプラグインだけを残して、使っていないものはすべて削除しましょう。
セキュリティプラグインを導入する
WordPressには優秀なセキュリティプラグインがあります。代表的なものとして、「Wordfence Security」や「SiteGuard WP Plugin」などがあります。
これらのプラグインを使えば、ファイアウォールの設置やマルウェアのスキャン、ログインのセキュリティ強化などを簡単に行えます。
セキュリティ対策チェックリスト
最後に、今すぐ確認できるセキュリティチェックリストをまとめます。
- SSL化（https化）は完了しているか
- 管理画面のパスワードは12文字以上で複雑なものか
- CMS・プラグイン・テーマは最新版に更新されているか
- お問い合わせフォームにreCAPTCHAなどのスパム対策が入っているか
- 定期的なバックアップを取っているか
- 不要なアカウントやプラグインは削除されているか
- ログインURLはデフォルトから変更されているか（WordPress）
- ログイン試行回数の制限が設定されているか（WordPress）
全部にチェックが入らなくても大丈夫です。できるところから一つずつ対策を進めていきましょう。
まとめ
HPのセキュリティ対策は、「やるかやらないか」ではなく「いつやるか」の問題です。被害を受けてからでは遅いので、できることから今日始めましょう。
まずはSSL化とパスワードの強化から。この2つだけでも、セキュリティレベルは大きく向上します。
「セキュリティ対策って難しそう…」と感じた方も、この記事で紹介した対策はどれも専門知識なしで始められるものばかりです。
Sane Designでは、セキュリティを考慮したHP制作や、既存HPのセキュリティ診断も承っています。「うちのHP、大丈夫かな？」と不安な方は、お気軽にご相談ください。
