ホームページの安全性を考える。
制作方法から運用・復旧まで、安心して使える仕組みを選ぶ。
TSUNAGITE / WEBSITE SECURITY
ホームページは、作った後の安全性まで考える。
セキュリティは製品を入れるだけで完成しません。どこを公開し、誰が管理し、何を保護し、問題が起きたらどう復旧するか。制作時点から運用まで一体で考えます。
何から守るのかを整理します。
不正ログイン・改ざん
管理画面・認証情報・権限の管理を見直し、不要な公開機能を減らします。
個人情報・メール送信
問い合わせで受け取る情報、送信先、ログ、メール認証等を考慮します。
サイトの停止・データ消失
バックアップは保存だけでなく、復旧の手順と責任者まで決めます。
古いCMSや外部サービス
更新・プラグイン互換性・外部依存を見直し、必要な保守範囲を定義します。
安全設計は、5つの基本から始めます。
不要な機能を公開しない
管理画面や外部連携は必要性を確認し、公開側に不要な管理機能を設けない選択も検討します。
権限と認証を管理する
管理担当、二要素認証、必要に応じたアクセス制限、退職・担当変更時の権限回収を決めます。
送信・表示を検査する
フォームの正常送信・誤送信・入力検証と、PC・スマートフォンの表示を公開前に確認します。
バックアップと復元を考える
取得する対象、保存先、保持期間、復旧担当を決め、必要に応じて復元手順を試験します。
作業と責任を明確にする
サーバー管理、CMS保守、文章の更新代行を区別し、誰がどこまで対応するかを契約で明記します。
CMSを使わないことは、安全設計の選択肢の一つ。
静的HTMLは公開側にCMS管理画面や公開データベースを置かない構成を選べます。一方で、サーバー設定、JavaScript、問い合わせフォーム、外部サービスなどのリスクは残ります。
WordPressを利用する場合も、本体・プラグインの更新、権限管理、バックアップなど適切な運用でリスクを減らします。
お問い合わせフォームは別に守る。
HTTPSによる暗号化に加え、スパム対策、入力検証、送信回数制限、送信先設定、エラー処理などを構成に応じて設計します。
暗号化通信だけでメールの安全が保証されるわけではありません。実際の送受信・通知メール・自動返信まで検査し、未確認の機能を実施済みとは表示しません。
サイトの方式ごとに、守る対象が変わります。
| 確認項目 | 静的HTML中心 | WordPress等のCMS |
|---|---|---|
| 公開側の管理画面 | 通常は置かない | 権限・認証・公開範囲を管理 |
| プログラム更新 | フォーム・外部JSなどを確認 | CMS・テーマ・拡張機能も確認 |
| バックアップ | HTML・素材・設定等 | ファイル・DB・設定等 |
| 更新の担当 | 制作会社の代行等 | 自社編集または代行 |
| 復旧に必要なもの | 公開ファイル・設定・手順 | ファイル・DB・設定・手順 |
静的HTMLでもフォーム等の動的機能があれば、その部分を別に点検する必要があります。「CMSなし＝保守不要」とは説明しません。
更新・バックアップ・復旧も含めて考える。
| 作業 | 確認したいこと |
|---|---|
| アクセス管理 | 権限・二要素認証・必要に応じたアクセス制限 |
| CMS・拡張機能 | 更新・互換性確認と、問題があった場合の対応 |
| フォーム | 正常送信・誤送信・スパム・個人情報の扱い |
| バックアップ | 保存先、保持期間、復旧手順と試験 |
| 運用契約 | サーバー管理・CMS技術保守・コンテンツ更新の分担 |
つなぎ手の 更新・保守料金では、同じ作業の二重請求を避けて範囲を分けます。
当サイト自身の取り組みについて
当サイトも公開部分と更新・送信処理の役割分担を考えながら構築しています。実際に稼働・検証を終えた対策について、公開時点の運用状況に合わせて説明を更新します。詳細な防御設定や認証情報は公開しません。
お問い合わせ内容・個人情報の取り扱いは プライバシーポリシー をご確認ください。
問題が起きたときの対応まで設計します。
状況を把握する
表示異常、改ざんの疑い、メール誤送信など、現象と影響範囲を確認。証拠やログを安易に消さないようにします。
影響を抑える
必要に応じて公開停止や接続制限等を検討し、契約上の担当者・専門事業者と連携します。
復旧と再発防止
復元元の安全性を確認し、復旧後は動作・送信・表示を検証。原因と再発防止策を整理します。
ホームページのセキュリティに関する質問
WordPressを使わなければ安全ですか？
安全性が保証されるわけではありません。管理画面に関する攻撃面を減らせる場合はありますが、サーバー、フォーム、外部サービス等への対策は引き続き必要です。
HTTPSなら問い合わせフォームも安全ですか？
HTTPSは通信を暗号化しますが、スパムや不正送信、入力内容の検証、メールの配送設定まですべて保証するものではありません。
バックアップがあれば復旧できますか？
保存があるだけでは不十分です。必要なデータ・設定が揃っているか、復元できるか、復旧担当と手順が決まっているかを確認します。
二要素認証は必要ですか？
WordPressなどの管理画面では、適切な認証・権限管理の一部として推奨します。運用方式に応じて実装可能な方法を検討します。
WordPressの更新は自社でできますか？
できます。ただし更新前のバックアップ、プラグイン・テーマの互換性、更新後の表示や機能確認まで担当を決める必要があります。
年間管理費にCMS保守は含まれますか？
サーバー・ドメイン管理とCMS固有の更新・動作確認は分けて説明します。契約書で重複を排除し、対象範囲を確定します。
トラブル時は必ず即日復旧できますか？
復旧時間や復旧結果は障害内容・契約範囲・第三者サービスに左右されます。標準契約での即日復旧は保証しません。