ホームページのセキュリティ対策｜中小企業が最低限やるべきこと

2026年8月11日

「うちみたいな小さな会社のサイト、狙われるわけないでしょ？」

セキュリティの話をすると、こうおっしゃる経営者様が少なくありません。

正直に言うと、中小企業のサイトこそ攻撃のターゲットになりやすいのが現実です。大企業のように専任のセキュリティ担当者がいないため、対策が甘くなりがちだからです。攻撃者はそこを狙います。

Web制作エンジニアとして、WordPress（Swell）やNext.jsで数多くのサイトを制作・保守してきました。その中で、セキュリティ対策を怠ったことで被害に遭ったサイトを何度も見てきました。

この記事では、専門知識がなくても理解できるように、中小企業が最低限やるべきセキュリティ対策を5つに絞って解説します。

なぜ中小企業のサイトが狙われるのか

攻撃は「無差別」に行われている

「わざわざうちの会社を狙う人なんていない」──これは大きな誤解です。

サイバー攻撃の多くは、特定の企業を狙っているわけではありません。ロボット（自動プログラム）が、セキュリティの甘いサイトをインターネット上で片っ端からスキャンして、脆弱性（ぜいじゃくせい＝セキュリティの穴）を見つけたサイトを自動的に攻撃します。

つまり、会社の規模は関係ありません。対策が甘いサイトが、自動的にターゲットになるのです。

実際にどんな被害が起きるのか

中小企業のサイトで実際に起きている被害を紹介します。

被害の種類	内容	影響
サイト改ざん	サイトの内容が書き換えられる	会社の信用失墜、顧客への被害
マルウェア（ウイルス）埋め込み	訪問者のPCにウイルスを感染させるコードが埋め込まれる	顧客への被害、損害賠償リスク
フィッシングサイト化	サイトが偽の銀行サイトなどに書き換えられる	犯罪に加担させられる
個人情報漏洩	お問い合わせフォームの情報が盗まれる	個人情報保護法違反、損害賠償
スパムメール送信の踏み台	サーバーから大量の迷惑メールが送信される	サーバー停止、メール配信不能

制作者の本音として、被害に遭ってからの復旧は、事前の対策よりもはるかに費用と時間がかかります。最低限の対策は、保険だと思って必ず実施してください。

対策①：SSL（https）の導入 ── 通信を暗号化する

SSLとは何か

SSL（Secure Sockets Layer）とは、ホームページとユーザーの間の通信を暗号化する仕組みです。SSLが導入されているサイトは、アドレスが「https://」で始まり、ブラウザに鍵マークが表示されます。

SSLが導入されていないサイトでは、お問い合わせフォームに入力された名前・メールアドレス・電話番号などの情報が、暗号化されずにインターネット上を流れます。これは、ハガキに個人情報を書いて送っているようなものです。

なぜ必須なのか

SSLが必要な理由は3つあります。

個人情報の保護：フォームの入力内容を暗号化して守る
信頼性の向上：SSL未設定のサイトは「保護されていない通信」と警告が表示される
SEOへの影響：Googleはhttps対応サイトを検索順位で優遇する

導入方法

現在、多くのレンタルサーバーで無料のSSL証明書（Let’s Encrypt）が利用できます。

サーバー	無料SSL	設定方法
主要レンタルサーバーA	あり	管理画面から1クリック
主要レンタルサーバーB	あり	管理画面から1クリック
コスパ重視のレンタルサーバー	あり	管理画面から設定
老舗レンタルサーバー	あり	管理画面から設定

正直に言うと、2026年現在でSSLが入っていないサイトは論外です。もしまだ対応していない場合は、今すぐ設定してください。

SSL（https）そのものの仕組みと、なぜ今は必須になったのかはSSL証明書（https）とは？で3分で読める形にまとめています。

対策②：WordPressの定期的なアップデート

なぜアップデートが重要なのか

WordPress（ワードプレス）は世界中で最も使われているCMS（コンテンツ管理システム）です。そのため、攻撃者にとっても研究対象になりやすいという側面があります。

WordPressの開発チームは、セキュリティの穴（脆弱性）が見つかるたびにアップデートをリリースしています。つまり、アップデートを放置するということは、「鍵が壊れているとわかっている玄関を直さない」のと同じです。

何をアップデートすべきか

WordPressのアップデートには3種類あります。

種類	内容	頻度の目安
WordPress本体	システムの核となる部分	月1回程度リリース
テーマ	サイトのデザイン・レイアウト部分	不定期
プラグイン（拡張機能）	お問い合わせフォームなどの追加機能	不定期

アップデートの注意点

ただし、アップデートにはリスクもあります。

アップデートによってサイトの表示が崩れることがある
プラグイン同士の互換性の問題が発生することがある
最悪の場合、サイトが表示されなくなることもある

そのため、アップデート前には必ずバックアップを取ることが鉄則です。また、可能であれば制作者やエンジニアに保守を依頼し、テスト環境で確認してから本番に適用するのが理想的です。

Web制作・システム開発は
First CHにお任せください

「こんなWebサイトが欲しい」「このシステムは実現できる？」——
現役エンジニアが直接お話を伺い、最適な進め方をご提案します。

お問い合わせはこちら → LINEで気軽に相談する

「まだ構想段階」「費用感だけ知りたい」というご相談も歓迎です。

対策③：強いパスワードの設定

よくある危険なパスワード

信じられないかもしれませんが、「admin/password」「admin/123456」のようなパスワード設定のままのサイトは、今でも大量に存在します。

攻撃者は「ブルートフォース攻撃（総当たり攻撃）」と呼ばれる手法で、一般的によく使われるパスワードの組み合わせを自動的に試し続けます。弱いパスワードのサイトは、数分で突破されてしまうのです。

強いパスワードの条件

安全なパスワードの条件は以下の通りです。

12文字以上（できれば16文字以上）
大文字・小文字・数字・記号を組み合わせる
辞書に載っている単語を使わない
他のサービスと同じパスワードを使い回さない

具体的な例：

危険なパスワード	安全なパスワード
password123	Kx8#mP2$vL9@nQ4w
company2026	7Tj!rN3&yW5*hB8$
admin	M2k#Fp9!Xt4@Lw6&

その他のログインセキュリティ対策

パスワード以外にも、以下の対策を組み合わせるとさらに安全です。

ログインURLの変更：WordPressのデフォルトのログインURL（/wp-admin）を変更する
ログイン試行回数の制限：何回かログインに失敗するとロックする設定
二段階認証：パスワードに加えて、スマートフォンのアプリで生成される確認コードを入力する方式
ユーザー名「admin」の変更：デフォルトのユーザー名は真っ先に狙われる

これらの対策は、WordPressのプラグイン（例：SiteGuard WP Plugin、Wordfence Security）で簡単に実装できます。

対策④：定期的なバックアップ

バックアップがないと「詰み」になる

万が一サイトが攻撃を受けた場合、バックアップがあれば攻撃される前の状態に戻すことができます。バックアップがなければ、一からサイトを作り直す羽目になります。

制作者の本音として、バックアップは最後の命綱です。他のすべてのセキュリティ対策を突破されても、バックアップさえあれば復旧できます。

バックアップの方法

WordPressのバックアップ方法は主に3つあります。

方法	メリット	デメリット
レンタルサーバーの自動バックアップ	設定不要、自動で実行	サーバーによっては復元が有料
プラグイン（UpdraftPlus等）	柔軟な設定、外部保存可能	プラグインの管理が必要
手動バックアップ	完全なコントロール	手間がかかる、忘れがち

バックアップのベストプラクティス

頻度：最低でも週1回。更新頻度が高いサイトは毎日
保存先：サーバーとは別の場所に保存（クラウドストレージ、ローカルPCなど）
保存期間：最低30日分は保持する
復元テスト：バックアップデータから実際に復元できるか、定期的に確認する

正直に言うと、バックアップを取っていない状態でサイトを運用するのは、保険なしで車を運転しているのと同じです。

対策⑤：WAF（ウェブアプリケーションファイアウォール）の導入

WAFとは何か

WAF（ワフ）とは、Web Application Firewallの略で、ホームページに対する不正なアクセスを検知して遮断する仕組みです。

わかりやすく例えると、ホームページの「門番」です。悪意のあるアクセスを入り口で食い止めてくれます。

WAFが防いでくれる攻撃

攻撃の種類	内容	WAFの効果
SQLインジェクション	データベースに不正な命令を送り込む攻撃	ブロック
クロスサイトスクリプティング（XSS）	サイトに悪意のあるスクリプトを埋め込む攻撃	ブロック
ディレクトリトラバーサル	サーバー内のファイルに不正にアクセスする攻撃	ブロック
ブルートフォース攻撃	パスワードを総当たりで試す攻撃	制限・ブロック

導入方法

WAFの導入方法はいくつかありますが、中小企業におすすめなのはレンタルサーバーに標準搭載されているWAFを有効にする方法です。

サーバー	WAF機能	費用
主要レンタルサーバーA	標準搭載	無料（サーバー料金に含む）
主要レンタルサーバーB	標準搭載	無料（サーバー料金に含む）
コスパ重視のレンタルサーバー	標準搭載	無料（サーバー料金に含む）
老舗レンタルサーバー	標準搭載	無料（サーバー料金に含む）

管理画面からON/OFFを切り替えるだけで有効になります。特にこだわりがなければ、今すぐONにしてください。

ただし、WAFが正常なアクセスを誤ってブロックしてしまう（誤検知）場合もあります。WordPressの管理画面が正常に動作しないなどの不具合が出た場合は、特定のルールだけ除外する設定が必要です。

セキュリティ対策チェックリスト

ここまでの内容を、すぐに使えるチェックリストにまとめました。

今すぐ確認すべき10項目

SSL（https）が導入されているか？
WordPress本体は最新バージョンか？
テーマは最新バージョンか？
プラグインはすべて最新バージョンか？
使っていないプラグインは削除されているか？
管理画面のパスワードは12文字以上の強いものか？
ユーザー名が「admin」のままになっていないか？
バックアップは定期的に取得されているか？
バックアップはサーバー以外の場所にも保存されているか？
WAFは有効になっているか？

チェックリストの使い方

上記の10項目に、1つでも「いいえ」があれば、できるだけ早く対応してください。特に上位5項目（SSL、WordPress更新、パスワード）は、最も基本的かつ重要な対策です。

「自分で対応するのは不安」という方は、制作会社やフリーランスに保守契約を依頼するのも有効です。月額5,000〜20,000円程度で、定期的なアップデートやセキュリティ監視を任せることができます。

保守契約の相場と契約時に確認すべき点はホームページ保守・運用費用の相場、サーバーの運用・監視作業そのものの適正額はサーバー保守費用の相場で解説しています。また、いざ他社へ移管するときに困らないようサーバー・ドメインの名義も確認しておくことをおすすめします。

まとめ：セキュリティは「コスト」ではなく「投資」

最後に、制作者として強くお伝えしたいことがあります。

セキュリティ対策は、サイトが攻撃を受けたときの損害と比べれば、はるかに安い投資です。

サイトの改ざんや個人情報の漏洩が起きた場合、復旧費用だけでなく、会社の信用という、お金では買えないものを失います。

この記事で紹介した5つの対策は、いずれも大きな費用をかけずに実施できるものばかりです。

対策	費用	難易度
SSL導入	無料〜	低（サーバー管理画面から設定）
WordPress更新	無料	低〜中（バックアップ後に実施）
パスワード強化	無料	低（設定を変更するだけ）
バックアップ	無料〜	低（プラグインで自動化可能）
WAF導入	無料〜	低（サーバー管理画面から設定）