セキュリティ最低限チェックリスト｜改ざん・乗っ取りを防ぐ運用習慣
2026/05/05
リニューアル・運用ノウハウなぜ今、サイトのセキュリティが“最低限”でも必須なのか
Webサイトは、会社の名刺であり、営業・採用・信用の土台です。
そのサイトが改ざんされたり、乗っ取られたりすると、被害は「表示が崩れる」だけでは終わりません。
- 信用の毀損（取引先・求職者からの不信）
- 機会損失（問い合わせが止まる、広告が止まる）
- 二次被害（不正サイトへの誘導、マルウェア配布の疑い）
特にCMS（WordPress等）を使うサイトは、更新を放置するとリスクが上がりやすいです。
セキュリティは“専門家だけの話”ではなく、運用習慣の話です。
よくある被害例｜改ざん・乗っ取りで起きること
被害は次のような形で現れます。
- 検索結果に不審なタイトルが表示される（スパムSEO）
- サイトが別ページへ転送される
- トップに見知らぬ画像や文字が表示される
- 管理画面にログインできない（アカウント奪取）
- Googleから「このサイトは危険」と警告される
いずれも、復旧対応・原因調査・信頼回復に時間とコストがかかります。
だからこそ、最低限の予防が重要です。
まず結論：最低限やるべきセキュリティ対策はこの7つ
難しい話を抜きにすると、最低限はこの7つです。
- SSL（https）
- CMS／プラグイン／テーマの定期更新
- 強固なID・パスワード＋二要素認証（2FA）
- 権限管理（管理者を増やさない）
- バックアップ（復元できる状態）
- WAF・ログイン制限などの防御
- 監視（異常を早く知る）
これだけでも、事故の確率は大きく下がります。
最低限チェックリスト（運用編）｜これだけは押さえる
SSL（https）と常時暗号化
URLがhttpsになっているか、常時SSLが有効か確認します。
問い合わせフォームがあるなら必須です。
CMS／プラグイン／テーマの更新（放置しない）
更新放置は、脆弱性を放置するのと同じです。
少なくとも月1回、更新可否を確認する運用を作ります。
※更新前にバックアップがあることが前提です。
ID・パスワードと二要素認証（2FA）
パスワードは「長く・複雑に・使い回さない」。
可能なら2FAを有効化します。
- 管理画面URLを推測されにくくする
- ログイン試行制限を入れる
といった対策も有効です。
権限管理（管理者を増やさない）
管理者権限は最小限にします。
- 退職者・不要アカウントは削除
- 役割に応じた権限（編集者など）を付与
バックアップ（頻度・保存先・復元テスト）
バックアップは「取ってる」だけでは不十分です。
- 頻度：更新頻度に応じて（例：週1〜毎日）
- 保存先：サーバー外にも保管（同一サーバーだけは危険）
- 復元：年1でもいいので復元手順を確認
“復元できる”ことがセキュリティです。
WAF・ログイン制限・アクセス制限
WAF（Web Application Firewall）は、攻撃を一定ブロックできます。
加えて、
- 管理画面へのアクセス制限（IP制限など）
- ログイン試行制限
も有効です。
監視（改ざん検知・死活監視・通知）
「気づくのが遅い」が被害を大きくします。
最低限、次を整えます。
- サイトが落ちたら通知（死活監視）
- 改ざん検知（ファイル変更検知等）
- サーチコンソールの警告通知を受け取る
最低限チェックリスト（サーバー・ドメイン編）
ドメインの乗っ取り対策（レジストラ管理）
ドメイン管理画面のパスワード強化・2FAを有効にします。
ドメインを奪われると、サイトだけでなくメールにも影響します。
DNS・ネームサーバーの管理と変更履歴
DNSが勝手に書き換えられると、別サイトへ誘導される可能性があります。
管理者を限定し、変更履歴が追える状態にします。
サーバーの契約・アカウント管理（共有の罠）
制作会社の共有アカウントで運用していると、担当変更時に引き継ぎトラブルが起きやすいです。
契約主体（誰の名義か）、管理情報の保管場所を明確にしましょう。
外注・制作会社に任せる時の注意点（契約の落とし穴）
保守範囲（何を、どこまで、いつやるか）
「保守」と言っても内容は様々です。
最低限、次を明文化します。
- アップデート対応（頻度）
- バックアップ（頻度・保存先）
- 監視（範囲・通知方法）
- 軽微修正の範囲（どこまで無料／有料か）
緊急時対応（復旧SLA・連絡手段）
改ざんや障害は、初動が命です。
営業時間外の対応可否、連絡手段、復旧目安を決めておくと安心です。
アカウント・資産の帰属（ドメイン／サーバー／GA4等）
これが曖昧だと、最終的に“自社の資産を取り戻せない”事故になります。
最低限、以下は自社管理にするのがおすすめです。
- ドメイン管理
- サーバー契約情報
- GA4／サーチコンソール
- 広告アカウント
- 主要なログイン情報の保管
やりがちなNG運用｜被害を呼ぶ“あるある”
- 更新通知を無視し続ける（放置）
- 管理者IDを複数人で使い回す（責任不明）
- パスワードを使い回す
- バックアップが“同じサーバー内だけ”
- 退職者アカウントが残り続ける
- 不具合が怖くて更新しない（結果、脆弱化）
「やらない理由」は色々ありますが、被害が出るともっと大変になります。
まとめ：セキュリティは“機能”ではなく“習慣”で守る
セキュリティ対策は、高額なツールを入れることが本質ではありません。
更新・権限・バックアップ・監視を習慣化するだけで、多くの事故は防げます。
リニューアルや運用見直しのタイミングで、まずは“最低限チェックリスト”を埋めるところから始めましょう。
無料相談
Refuでは、サイトのセキュリティ運用（SSL、更新、バックアップ、WAF、監視、権限整理）から、保守契約の整理、緊急時の復旧設計まで一括で対応しています。
「うちのサイト、最低限できているか不安」「保守を見直したい」など、お気軽にご相談ください。
その他おすすめ記事はこちら
