ホームページ制作・運用に関わるセキュリティ対策とは？SSL化とWordPress対策を解説

Webサイトのセキュリティ対策は、制作時だけでなく運用中も継続的に必要です。対策が不十分だと、サイトが改ざんされたり、訪問者の情報が危険にさらされたりするリスクがあります。本記事では、アットノエルが制作・運用時に標準で実施しているセキュリティ対策を解説します。

この記事のポイント

• Webサイトのセキュリティ対策は「SSL化」と「WordPress対策」の2軸が基本
• SSL化はすべてのサイトで必須。未対応の場合はブラウザに警告が表示される
• WordPressは世界シェアNo.1のCMSのため、狙われやすく適切な対策が必要
• 制作時の対策に加え、継続的な保守・運用によってセキュリティを維持することが重要

この記事が向く人・向かない人

向く人

• Webサイトのセキュリティ対策について基礎から理解したい方
• WordPressサイトのセキュリティが心配な担当者
• 制作会社がどのようなセキュリティ対策をしているか確認したい方

向かない人

• セキュリティ対策の詳細な技術仕様・実装方法を求めているエンジニア

WebサイトのセキュリティにはなぜSSL化が必要なのか？

SSL化とは、Webサイトと閲覧者のブラウザ間の通信を暗号化する仕組みです。SSL化されたサイトのURLは「http://」ではなく「https://」で始まります。SSL化されているかどうかは、アドレスバーの「鍵マーク」でも確認できます。

SSL化されていないサイトにアクセスすると、ブラウザに「この接続は保護されていません」「安全ではありません」という警告が表示されます。これは訪問者に不信感を与えるだけでなく、SEO的にも不利になります。Googleは2014年からSSL化をランキング要素に含めると発表しており、現在ではSSL化はすべてのサイトで必須の対応です。

SSL証明書の確認方法

ブラウザのアドレスバーにある鍵マークをクリックすると、SSL証明書の情報を確認できます。

「この接続は保護されています」という表示の下にある「証明書は有効です」をクリックすると、証明書の詳細情報が確認できます。

証明書には発行者・有効期限などが記載されています。有効期限が切れたSSL証明書は警告が表示されるため、定期的な更新が必要です。

WordPressサイトで実施すべきセキュリティ対策は何か？

プログラムである以上、WordPressに限らずインターネット上で動くシステムはすべて、適切に管理・更新していく必要があります。WordPressも例外ではありません。

WordPressは無料で使えることもあって世界のCMSシェアNo.1（2024年時点で全Webサイトの43%以上）となっています。ただし、シェアが高い分、ITリテラシーが高くない方が使うケースも多く、プラグインも含めて適切に管理されていないサイトが一定数あります。その結果として不正アクセスの標的になりやすいという側面があるのは事実です。

言い換えれば、きちんと管理・対策されているWordPressサイトであれば、過度に心配する必要はありません。以下の対策を制作時から適切に行うことで、リスクを大幅に低減できます。

管理画面のURLを変更する

WordPressのデフォルトの管理画面URLは「/wp-admin/」という固定のURLです。このURLは広く知られているため、不正アクセスを試みる標的になりやすいです。管理画面のURLを任意の文字列に変更することで、不正アクセスのリスクを下げられます。

WordPressのバージョン情報を非表示にする

WordPressのバージョン情報がHTMLソースに記載されたままだと、古いバージョンの既知の脆弱性を狙った攻撃を受けやすくなります。バージョン情報を非表示にすることで、攻撃のヒントを与えないようにします。

管理画面へのアクセス制限

管理画面へのアクセスを特定のIPアドレスやパスワードで制限します。

• IP制限：あらかじめ登録したIPアドレス以外からのアクセスをブロックする
• パスワード制限：WordPressのログイン画面の手前にBasic認証（二重ログイン）を設ける
• 時間帯制限：業務時間外のアクセスをブロックする（夜間・休日など）
• ログイン試行回数の制限：一定回数以上ログインに失敗したIPアドレスをブロックする（ブルートフォース攻撃対策）

重要なファイルへのアクセス制限

設定ファイル（wp-config.php）など、外部からアクセスされるべきでない重要なファイルにアクセス制限を設けます。

ファイルの変更を検知する

サイトのファイルが不正に変更された際に通知する仕組みを設けます。万が一、改ざんが発生した場合でも早期に気づき、被害を最小限に抑えられます。

セキュリティ対策は制作時だけでなく継続的な保守が必要な理由は？

セキュリティ対策は、制作時に一度行えば終わりではありません。WordPressやプラグインの脆弱性は定期的に発見されており、アップデートへの対応を怠ると新たなリスクが生じます。

アットノエルでは制作時のセキュリティ設定に加え、運用サポートを通じてWordPressのアップデート対応などを継続的に行っています。

»関連記事：WordPressのアップデートが大切な理由
»関連記事：Webサイト保守の内容と費用の目安

よくある質問

Q. SSL化されているか自分で確認できますか？

A. はい。ブラウザのアドレスバーでURLが「https://」から始まっているか、鍵マークが表示されているかを確認してください。鍵マークをクリックすると証明書の詳細も確認できます。

Q. WordPressを使っているとセキュリティが弱いのですか？

A. そのようなことはありません。プログラムである以上、WordPressに限らずどんなシステムも適切な管理・更新が必要です。WordPressはシェアが高く管理が行き届いていないサイトが狙われるケースがありますが、適切なセキュリティ設定とアップデートの維持によってリスクは大幅に低減できます。

Q. セキュリティ対策は自社で行う必要がありますか？

A. 管理画面のURLやIP制限などの設定は、専門知識が必要です。アットノエルでは制作時に標準でこれらの設定を行っています。運用中のアップデート対応については、保守契約のうえで対応しています。

Q. サイトが改ざんされてしまった場合はどうすればよいですか？

A. 速やかにサイトを非公開にし、制作会社や専門家に相談してください。原因の特定・ファイルのクリーンアップ・再発防止策の実施が必要になります。アットノエルでも改ざん対応のサポートを行っています。

まとめ

Webサイトのセキュリティ対策は「SSL化」と「WordPress対策」の2軸が基本です。制作時に適切な設定を行い、運用中も継続的なメンテナンスを続けることがリスク低減につながります。

• SSL化はすべてのサイトで必須。未対応の場合はブラウザに警告が表示される
• WordPressは管理画面のURL変更・アクセス制限・ログイン制限などの対策が有効
• セキュリティ対策は制作時だけでなく、継続的な保守・アップデート対応が必要

Webサイトのセキュリティや保守について相談したい方は、アットノエルの運用サポートをご覧ください。