ホームページは「公開しているだけ」で終わりではありません。むしろ公開してからが本番です。セキュリティを軽視すると、改ざん・情報漏洩・SEO評価の低下など、事業に直結するリスクに繋がります。ここでは最低限押さえるべきポイントを整理します。
1. SSL（HTTPS）は必須
まず前提として、サイトは必ずHTTPS化します。
これは「やったほうがいい」ではなく「やっていないと論外」です。
通信内容の暗号化（盗聴防止）
Googleの評価に影響（SEO）
ユーザーの信頼性確保
未対応のまま放置しているサイトは、技術的にも運用的にも信用されません。
2. パスワード管理を甘くしない
意外とここで事故が起きます。
「admin / 123456」などの単純なパスワードは禁止
使い回しはNG
二段階認証（2FA）を導入する
WordPressなどのCMSはログイン画面が公開されているため、総当たり攻撃の対象になります。
ここを守らないのは、鍵をかけずに家を出るのと同じです。
3. CMS・プラグインは常に最新に
古いバージョンは「既知の脆弱性」を抱えています。
WordPress本体のアップデート
プラグイン・テーマの更新
使っていないプラグインは削除
「動いているから触らない」は完全に逆です。
放置＝攻撃される前提で考えるべきです。
4. 不要な機能・ファイルを残さない
開発時に使ったものをそのまま公開しているケースは多いです。
テスト用ファイル
未使用の管理画面
デバッグ用コード
これらは攻撃の入り口になります。
本番環境には「必要なものだけ」を置くのが基本です。
5. 入力フォームの対策（XSS・SQLインジェクション）
お問い合わせフォームなどは、攻撃の標的になります。
入力値のサニタイズ（無害化）
バリデーションの実装
SQLのプレースホルダ使用
「フォームが動けばOK」では不十分です。
攻撃される前提で設計する必要があります。
6. 定期的なバックアップ
どれだけ対策しても、100%防ぐことはできません。
自動バックアップの設定
複数世代で保存
サーバー外にも保存
被害をゼロにすることは無理ですが、復旧できる状態にしておくことは可能です。
ここをやっていないと、復旧ではなく“作り直し”になります。
7. 管理画面へのアクセス制限
ログインURLは誰でもアクセスできます。
IP制限
ベーシック認証
ログイン試行回数の制限
「ログイン画面がある＝攻撃される前提」です。
入口の段階で弾く設計が必要です。
8. 権限管理を適切に行う
複数人で運用する場合、全員に管理者権限を渡すのは危険です。
必要最低限の権限のみ付与
退職・離脱時は即削除
共通アカウントの禁止
内部からのリスクも現実的に発生します。
「信用しているから大丈夫」はセキュリティでは通用しません。
まとめ
ホームページのセキュリティは「特別な対策」ではなく、「当たり前の運用」です。
むしろ問題なのは、
・後回しにしていること
・知っているのにやっていないこと
この2つです。
セキュリティはコストではなく“保険”です。
事故が起きてからでは遅いので、最低限の対策は必ず実施しておきましょう。
必要なら「WordPress前提での具体的な設定チェックリスト」も出せる。ここまでやれてるか一回棚卸しした方がいい。
