2026年10月、PHPの緊急の脆弱性対応をきっかけに、弊社が制作・保守を担当しているサイト群の契約内容をあらためて確認したところ、「サーバーやPHPの更新が、保守契約のどの範囲に含まれるか」が文書上はっきり書かれていないケースがいくつか見つかりました。書面に明記がなければ、契約している本人がその境界線を把握できていないことも起こり得ます。ホームページのセキュリティは、専門的な設定の話であると同時に、「誰が・どこまで・何を見てくれているのか」を確認できているかという、契約・コミュニケーションの話でもあります。本記事では、すでに制作会社・保守会社と契約している方向けに、ホームページセキュリティチェックとして聞いておくと安心できる4つの質問をまとめました。
この記事の要点
- セキュリティは設定だけの話ではなく、「制作会社・保守会社に何を・どこまで聞けているか」というコミュニケーションの問題でもあります。
- 聞いておきたいのは「更新」「バックアップ」「通信の暗号化」「相談できる関係か」の4点です。
- 答えが曖昧だったり、質問自体を嫌がられたりする場合は、それ自体が1つの判断材料になります。
なぜ「聞く」ことが対策になるのか
ホームページのセキュリティ対策の多くは、サーバーの設定やソフトウェアの更新など、利用者が直接操作できない部分で行われています。WordPress公式のセキュリティ強化に関する解説ページには、次のような記述があります。
「共有サーバー（自分のサイト以外も同居しているサーバー）を利用している場合、同じサーバー上の別サイトが侵害されると、このガイドの内容をすべて実践していたとしても、自分のサイトも侵害される可能性がある。利用しているホスティング会社に、どのようなセキュリティ対策を取っているか必ず確認すること」(原文:If you’re on a shared server (one that hosts other websites besides your own) and a website on the same server is compromised, your website can potentially be compromised too even if you follow everything in this guide. Be sure to ask your web host what security precautions they take.)
つまり、自分のホームページだけをいくら気をつけていても、サーバー側の対策までは利用者からは見えません。だからこそ公式ドキュメント自身が「ホスティング会社に確認すること」を対策の一つとして挙げているのです。これは制作会社・保守会社に委託している場合も同じで、何を・どこまでやってもらえているかを知る手段は、基本的に「聞く」ことしかありません。
ホームページセキュリティチェック：制作会社に聞いておきたい4つの質問
すでに制作会社・保守会社と契約している前提で、聞いておくと安心できる4つの質問をまとめました。どこかに正式な連絡窓口がある方は、メールや電話で一度まとめて確認してみてください。
質問①：サーバー・ソフトウェアの更新はどうなっているか
「サーバーやWordPress本体、プラグインの更新は、どのタイミングで・誰が行っていますか」という質問です。WordPress公式のセキュリティ強化に関する解説ページは、信頼できるホスティング会社の特徴の一つとして「すべてのサーバーソフトウェアについて、最新の安定版を提供していること」(原文:Provides the most recent stable versions of all server software.)を挙げています。更新が自動なのか、依頼ベースなのか、それとも契約に含まれていないのかを知っておくだけで、「誰も見ていない期間」が生まれていないかを確認できます。
質問②：バックアップと復旧の体制はどうなっているか
「もし何か起きたとき、どの時点の状態まで・どれくらいの時間で戻せますか」という質問です。同じ解説ページは、信頼できるホスティング会社の特徴として「バックアップと復旧のための信頼できる手段を提供していること」(原文:Provides reliable methods for backup and recovery.)も挙げています。バックアップの有無だけでなく、「実際に復旧できる状態になっているか」まで確認しておくと、いざというときに慌てずに済みます。
質問③：管理画面やサーバーへの接続は暗号化されているか
「サイトの管理画面やサーバーへの接続に、暗号化された方法（SFTP等）を使っていますか」という質問です。同解説ページの「FTP」の項では「サーバーへ接続する際は、ホスティング会社がSFTP暗号化を提供している場合はそれを使うべきである。SFTPを提供しているか分からない場合は、ホスティング会社にただ聞けばよい」(原文:When connecting to your server you should use SFTP encryption if your web host provides it. If you are unsure if your web host provides SFTP or not, just ask them.)と案内されています。暗号化されていない接続方式が今も使われていないかは、担当者でなければ分からない部分です。
質問④：セキュリティについて、気軽に相談できる関係か
「気になることがあったとき、遠慮せず相談してよいですか」という、関係性そのものを確認する質問です。同じ解説ページは、信頼できるホスティング会社の特徴として「セキュリティ上の懸念事項について、どのようなセキュリティ機能・プロセスを提供しているか気軽に話し合えること」(原文:Readily discusses your security concerns and which security features and processes they offer with their hosting.)を一番目に挙げています。質問をしたときの答え方・向き合い方そのものが、他の3つの質問への答えよりも分かりやすい判断材料になることがあります。
聞くタイミングと聞き方
4つすべてを一度に聞く必要はありません。月次の保守報告やお打ち合わせの機会に、1〜2点ずつ確認していく形でも十分です。大切なのは、「何かが起きてから初めて聞く」のではなく、何も起きていない今のうちに、現状を一度把握しておくことです。PHPバージョンの確認方法や更新前のバックアップの取り方のように、自分で確認できる部分と、制作会社・保守会社に聞くしかない部分を分けて考えると、何を聞けばいいかが整理しやすくなります。
答えが返ってきたら確認すること
4つの質問への答えが返ってきたら、次の2点を確認してみてください。
- 答えが具体的か：「対応しています」だけでなく、「いつ・どの範囲で」まで答えてもらえているか
- 契約の範囲と一致しているか：答えてもらった内容が、実際の保守契約の範囲（月額に含まれるのか、別途作業になるのか）と合っているか
「サーバーの更新は含まれているはずだと思っていたが、実は別料金だった」というような思い違いは、保守費用の内訳やドメイン・サーバーの管理の所在を確認していないことが原因で起きやすいものです。セキュリティの質問と合わせて、契約の範囲も一度確認しておくと、あとからのすれ違いを防げます。
まとめ:この記事のポイント
- ホームページのセキュリティは、制作会社・保守会社に「何を・どこまで聞けているか」というコミュニケーションの問題でもある
- 聞いておきたいのは「更新」「バックアップ・復旧」「通信の暗号化」「相談できる関係か」の4点
- 答えが返ってきたら、具体性と契約範囲との一致を確認する
一度にすべてを聞く必要はありません。次の保守報告や打ち合わせの機会に、まず1つだけ聞いてみることから始めてみてください。
よくある質問
制作会社にセキュリティのことを聞くのは、失礼にあたりませんか？
A. WordPress公式のドキュメントでも「ホスティング会社にセキュリティ対策を確認すること」が案内されており、通常の確認事項の一つです。答え方そのものも、会社を見極める材料になります。
4つの質問は、どのくらいの頻度で聞けばいいですか？
A. 決まった頻度はありませんが、一度も聞いたことがない場合は、まず現状を把握するために一度まとめて確認し、その後は年に1回程度、変更がないかを確認するとよいでしょう。
答えが曖昧だった場合、どうすればいいですか？
A. 「対応しています」のような一言で終わる場合は、「具体的にいつ・どの範囲まで」を重ねて質問してみてください。それでも具体的な答えが得られない場合は、契約内容を見直す一つのきっかけになります。
自分でサーバーを契約している場合も、同じ質問が当てはまりますか？
A. はい。質問する相手が制作会社ではなくホスティング会社になるだけで、確認したい内容（更新・バックアップ・暗号化・相談しやすさ）は同じです。
ホームページの保守に不安がある方へ
何を聞けばいいかは分かっても、聞く相手や窓口が分からない、あるいはそもそも今の保守体制に不安があるという方もいらっしゃいます。「Webまもり番」は、ホームページの安全管理を、担当者の手間と記憶に頼らず継続できるようにするためのサービスです。気になる方は、サービス内容をご確認ください。