サイバーセキュリティに強い「静的ホームページ」をおすすめする理由と、守りを固める３つのポイント

以前「WordPressと静的(HTML)サイトの大まかな違い」という記事で、WordPressと静的(HTML)サイトの違いを比較しました。その中で、セキュリティ面は静的サイトの大きな強みだとお伝えしました。

この記事では、その理由をもう少し詳しく説明します。あわせて、静的サイトを「さらに安全」にするための具体的な対策もご紹介します。

静的サイトとは

静的サイトとは、あらかじめ完成したHTML・CSS・画像ファイルをそのまま公開するサイトです。アクセスのたびにプログラムが動いてページを生成する、WordPressなどのCMS型とは仕組みが異なります。

静的サイトは、昔からインターネットを触ったことがある方なら知っている人も多い馴染み深い作成方法です。HTMLファイルを書いてサーバーにアップロードするだけで公開できる、ホームページ作りの原点ともいえるやり方です。

「古い手法なのでは？」と感じる方もいるかもしれません。しかし、仕組みがシンプルで安全性が高いことから、今あらためて見直されています。

最近は、Astroのような静的サイトジェネレーターで制作し、公開用ファイルを書き出す方法も一般的です。昔ながらの手軽さと安全性はそのままに、現代的な開発環境で効率よく作れるようになっています。

なぜ静的サイトはサイバー攻撃に強いのか

サイバー攻撃の多くは、サイトの「仕組み」の弱点を狙います。静的サイトにはその弱点になりやすい部分が、そもそもほとんどありません。

1. 攻撃される入口が少ない

WordPressなどのCMSは、PHP・データベース・管理画面・プラグインといった多くの部品で動いています。部品が多いほど、攻撃者が狙える入口も増えます。

静的サイトは、公開されているのが完成済みのHTML・CSS・画像ファイルだけです。プログラムが動かないので、次のような代表的な攻撃が成立しません。

・SQLインジェクション（データベースの不正操作）

・PHPの脆弱性を突いたサーバー内でのコード実行

・管理画面へのログイン総当たり攻撃（ブルートフォース）

そもそもデータベースも管理画面もないため、狙われる対象がありません。

2. アップデート漏れが事故になりにくい

WordPressの改ざん被害で多いのは、本体・テーマ・プラグインのアップデートを怠って脆弱性を放置するケースです。

静的サイトにはアップデートが必要なシステムがありません。「忙しくて更新を忘れていた」ことが原因の事故が起きにくく、運用担当者の負担も減ります。

3. 改ざんされても被害を限定しやすい

静的サイトは、手元の元データから公開用ファイルをいつでも作り直せます。万一おかしな状態になっても、元データを再アップロードすれば復旧できます。

ただし「静的サイトなら絶対安全」ではありません

大切なことなので正直にお伝えします。静的サイトでも、次のような原因でトラブルは起こります。

・レンタルサーバーやドメイン管理画面のパスワード流出

・FTPパスワードの使い回し

静的サイトはサイト本体の弱点が少ないぶん、狙われるのは「周辺」です。そこで、次の5つのポイントを押さえることをおすすめします。

静的サイトを守る３つのポイント

ポイント1：常時HTTPS化

通信の暗号化(HTTPS)は必須です。ブラウザが常にHTTPSでアクセスするして通信の盗み見や偽装を防ぎやすくなります。

ポイント2：ホスティング先は静的サイト向けのサービスを選ぶ

おすすめは、ロリポップやXserverなど、静的サイト向けのホスティングサーバーです。

・安価で始められる

・独自ドメインのSSLを自動で発行・更新、さらに無料。

ポイント3：外部サービスは必要最小限にする

外部のJavaScriptやウィジェットを増やすほど、そこが攻撃の入口になります。

・使っていないタグやウィジェットは削除する

・お問い合わせは、信頼できる外部フォームサービスへのリンクや埋め込みで対応する

以前の記事でもご紹介したように、リンクで済ませる方法ならサイト側にフォームのプログラムを置かずに済み、セキュリティ面でも有利です。

こんな方には静的サイトがおすすめです

・会社案内・店舗案内・LP・ポートフォリオなど、ページ数が少なめのサイト

更新頻度が低く、内容が頻繁に変わらないサイト

・「改ざん」や「乗っ取り」で信用を落としたくない事業者・士業・医療・教育関係のサイト

・保守費用や運用の手間を抑えたい方

逆に、記事を毎日追加するブログや、ページ数が多い大規模サイトは、WordPressなどのCMSのほうが向いています。その場合でも、更新・権限管理・バックアップの運用が大切です。

まとめ

静的サイトは、仕組みがシンプルなぶん攻撃の入口が少なく、セキュリティ面で優れた選択肢です。そこにHTTPS・セキュリティヘッダー・アカウント保護を組み合わせれば、中小規模のサイトとして十分に堅牢な運用ができます。

「今のWordPressサイトの保守が不安」「改ざんの被害を受けたことがある」という方は、静的サイトへのリニューアルも選択肢のひとつです。移行できるかどうかの事前調査も行っていますので、お気軽にご相談ください。