① なぜ発注前にセキュリティ要件を決めるべきか
ホームページ制作で「セキュリティ対策はおまかせ」と伝えると、制作会社ごとに標準装備の範囲が大きく異なります。
- A社:「SSL だけ標準」── その他は追加費用
- B社:「SSL + WAF + バックアップ標準」── 月額保守に含める
- C社:「保守契約なしで公開して終わり」── 以後は自己管理
これを発注後に初めて知ると、「標準で入ってると思ってた」とのズレで、後から追加費用を請求されたり、保守契約を強いられたりします。本記事の 7 項目は、見積もり段階で必ず明文化しておくべき内容です。
② 要件 1:SSL(https 化)の対応
SSL は 2026 年現在、必須中の必須。これが未対応だとブラウザに「保護されていない通信」の警告が表示されます(詳細は 「保護されていない通信」の警告 原因と対策)。
主要レンタルサーバは無料 SSL(Let's Encrypt)が標準提供されるため、小規模サイトは無料で十分。EC サイトや法人向けには、企業認証付きの有料 SSL(年 2〜 10 万円)を検討。
「SSL は無料 ・有料どちらを採用する?証明書の自動更新は含まれる?常時 SSL 化(http→https リダイレクト)の設定も対応?」
③ 要件 2:WAF(攻撃防御)の導入
WAF は、SQL インジェクション・ XSS ・ブルートフォース攻撃などの既知の攻撃を自動ブロックする「門番」です。Cloudflare WAF なら無料で導入可能なため、「標準装備」とする制作会社も増えています。
「WAF は導入する?Cloudflare など無料プラン導入か、専用サービスか?WAF のメンテナンス(ルール更新・誤検知対応)は誰が担当する?」
④ 要件 3:自動バックアップと復旧体制
改ざん・事故からの復旧の鍵は「クリーンな状態のバックアップ」。重要なのは「取得頻度」「保存期間」「復旧テストの実施」の 3 点です。
- 日次自動バックアップが取得されているか
- 保存期間は最低 14 日分以上あるか
- 別物理場所(クラウド等)にもコピーがあるか
- 年に 1 度でも復旧テストを実施しているか
「バックアップは日次か?保存は何日分か?オフライン保管はある?もし改ざんされたら、何時間で復旧できる?」
⑤ 要件 4:管理画面のアクセス制御
WordPress・ EC サイト等の管理画面を狙う攻撃は常態化しています。以下 3 点の対応が重要:
- 管理画面 URL の変更:/wp-login.php のままだと総当たり攻撃の格好の標的
- 多要素認証(2FA)の有効化:パスワード漏洩時の最後の砦
- IP 制限:社内 IP からのみアクセス許可するとさらに強固
「管理画面の URL は変更する?2FA は標準装備?IP 制限はオプションか標準か?」
⑥ 要件 5:定期的なセキュリティ更新の保守体制
WordPress 本体・プラグイン・テーマ・ PHP バージョンは、脆弱性修正のため月 1 回以上の更新が必要です。これを誰が担当するか明確にしておきます。
- 月額保守契約で制作会社が担当するか
- 自社で担当する場合、やり方のレクチャーがあるか
- 保守契約なしだと、更新忘れによる改ざんリスクが数ヶ月で顕在化
「WordPress ・プラグイン・ PHP の更新は、月額保守に含まれる?自社でやる場合、手順書はもらえる?緊急パッチが出た時はどうする?」
⑦ 要件 6:改ざん検知・監視の有無
改ざんされても早期発見できれば被害を最小化できます。自動検知サービス(Wordfence、Sucuri、Jetpack Scan 等)の導入有無を確認します。
- ファイル変更の自動検知
- マルウェア検知
- Google の有害サイト警告の検知
- 異常時のメール通知
「サイトが改ざんされた場合、どうやって検知する?いつ気づく?検知後の連絡は制作会社から?自分で監視画面を見る必要あり?」
⑧ 要件 7:インシデント発生時の対応窓口
改ざん・情報漏洩・サイト停止が発生した場合、個人情報保護法改正により 72 時間以内の対応が必要です。発注前に対応フローを明確化します。
- 24 時間対応か、営業時間内のみか
- 電話・メール・チャットなど連絡手段
- 初動対応(サイト閉鎖・調査開始)の時間目標
- 個情委への報告対応の支援有無
- インシデント対応の費用(スポット or 保守契約込み)
「もしサイトが乗っ取られたら、連絡先はどこ?何時間以内に初動対応してくれる?復旧費用はどのくらい?個情委報告の支援はある?」
⑨ 要注意:格安制作会社が黙っていること
「月額 5,000 円のホームページ制作」などの格安パッケージには、セキュリティ対策が最低限しか含まれないことがほとんどです。
格安制作会社が明示しないこと:
- WAF は未導入(あっても別途月額オプション)
- バックアップは「サーバ標準の 7 日分のみ」(オフライン保管なし)
- WordPress 更新はお客様自身で対応
- 改ざん検知は導入なし
- インシデント対応は別途費用(1 回 10〜 100 万円の実費請求)
「月額 5,000 円で作ってもらって安心だと思っていたら、改ざんされて復旧費 30 万円、個情委対応で弁護士費 50 万円」というケースが実際に起きています。安さだけで判断しないことが重要です。
まとめ
ホームページ制作のセキュリティ要件は、発注前に明文化しておくことが鉄則です。
見積もり時に以下を質問するだけで、制作会社の実力・体制が見えてきます:
- SSL は無料・有料?常時 SSL 化は?
- WAF は導入する?誰が運用?
- バックアップの頻度・期間・復旧テスト
- 管理画面の URL 変更・ 2FA ・ IP 制限
- 月次更新の担当・頻度・費用
- 改ざん検知の仕組み
- インシデント対応の窓口・時間・費用
この 7 項目に明確な答えがある制作会社を選ぶのが、長期的に安心して運用するための最初のステップです。
合同会社 SKY のホームページ制作は、この 7 項目すべてを標準装備でご提供しています。SSL ・ WAF ・自動バックアップ ・改ざん検知 ・ 2FA ・月次保守 ・インシデント対応、すべて初期費用+月額保守に含まれます。他社見積もりとの比較相談もお気軽にどうぞ。