中小企業のホームページのセキュリティ対策は何から始めるか

まず「誰が何を管理しているか」を書き出す

ホームページは、いくつかの契約の組み合わせで動いています。対策の前に、次の 4 つを誰が管理しているかを書き出します。分からない欄があっても構いません。

管理するもの	例	確かめ方
ドメイン	example.co.jp の契約	更新料の請求書
サーバー	エックスサーバーなど	月額・年額の請求書
サイトの中身と更新	制作会社、社内の誰か	最後に修正を頼んだ相手
メール	Google Workspace など	メールの契約先

この表があると、指摘を受けたときに「誰に頼むか」で止まらずに済みます。制作会社に毎月の保守料を払っている場合は、その中に更新作業が含まれているかも聞いておきます。

外から見える 5 つの確認

担当者のいない会社がまず確かめるとよいのは、外から見える次の 5 つです。どれもサーバーの中に入らずに確かめられます。

1. 暗号化通信と証明書

アドレスが https:// で始まり、証明書（通信を暗号化するための電子的な身分証）の期限が切れていないか。期限が切れると、ブラウザに警告が出て閲覧者がページを開けなくなります。詳しくは 証明書 にあります。

2. ソフトの版とサポート期限

サイトを動かす PHP（プログラムの言語）や WordPress の版が、公式のサポート期限内か。PHP の公式ページ では、8.1 以前はセキュリティ修正が終了しています。調べ方は WordPress と PHP のバージョンを確認する方法、頼み方は PHP バージョンアップを制作会社に依頼する文例 にあります。

3. 会社名をかたるメールの対策

会社のドメインに SPF と DMARC という設定があるか。無いと、自社名をかたるメールが取引先に届きやすくなります。自社ドメインのなりすましメール対策 で説明しています。

4. ブラウザへの安全指示

常に暗号化通信で開く指示（HSTS）や、他サイトへの埋め込みを防ぐ指示（X-Frame-Options）など、サイトがブラウザに出している設定。多くはサーバーの設定に数行加えるだけです。

5. 公開してはいけないファイル

設定ファイル（.env）など、外から見えてはいけないファイルが見えていないか。見えている場合は、中に書かれたパスワードなどを変える必要が出てきます。

自社でできること、頼むこと

自社で確かめられるのは、上の 5 つが今どうなっているかです。直す作業は、多くの場合サーバーやサイトを管理している人に頼みます。

• 自社で：現状の確認、管理表の作成、制作会社への連絡
• 頼む：PHP や WordPress の更新、サーバーの設定、DNS の設定

頼む先が分からない、制作会社と連絡が取れない、という場合は、まず最初の管理表で空いている欄を埋めることから始めます。サーバーやドメインの請求書の契約者名を見れば、誰が契約しているかの手がかりになります。

頼むときは、何を見てどう指摘されたかを具体的に伝えると、見積もりが早く正確になります。診断結果の画面や PDF をそのまま添付するのが手間のかからない方法です。

定期的に見直す

一度確かめて終わりにせず、時期を決めて見直します。

• 証明書の期限：期限の 1 か月前
• PHP の版：公式のサポート期限が近づいたとき（8.2 は 2026 年 12 月 31 日まで）
• WordPress とプラグインの更新：保守契約の報告を受けたとき

年に 1〜2 回、決まった月に確認する、と社内の予定に入れておくと続けやすくなります。

無料診断で確かめられること

無料診断 では、ドメインを入れるだけで、上の 5 つの確認にあたる項目を外から確かめ、項目ごとに「要対応」「確認推奨」などの判定を付けます。サーバーの ID やパスワードは要りません。判定の意味は セキュリティ診断の結果の見方 にあります。人の目で原因と直し方まで確かめたい場合は 詳細診断 があります。