セキュリティへの取り組み
問題は WordPress そのものではなく、「更新し続ける体制」がないまま運用されること。Onesoft は、攻撃される入口を減らす構成と、作った人が運用まで見る体制で守ります。
あなたのサイトのURL、「http://」で始まっていませんか？
「s」が1文字ないだけで、通信は暗号化されず、内容が丸見えの状態です。そして2026年10月からは、Google Chrome がそうしたサイトを開く前に、閲覧者へ警告を出すようになりました。この地域にも、まだ「http://」のままの企業サイトが数多く残っています。
お客様の前に「警告画面」が出る
2026年10月の Chrome 154 から、HTTPS に対応していない公開サイトを初めて開く前に、閲覧者へ警告して確認を求めるのが標準になりました。お客様は、御社のトップページを見る前に「安全な接続ではない」と告げられます。
パスワードや個人情報が盗み見られる
暗号化されていない通信は、カフェやホテルの無料 Wi-Fi など、同じ通信経路にいる第三者に内容を読み取られる危険があります。管理画面のパスワードや、お問い合わせフォームに入力された氏名・電話番号・メールアドレスが、そのまま流れています。
ページを書き換えられる
通信の途中で内容を改ざんされても、閲覧者には見分けがつきません。偽の入力欄や不正な広告・リンクを差し込まれ、御社の名前で詐欺に使われるおそれがあります。
検索で不利になる
Google は2014年から、HTTPS を検索順位の評価要素の一つにしています。同じような内容なら、暗号化されたサイトの方が有利です。警告画面で離脱されれば、なおさらです。
「保護されていない通信」で信用を失う
アドレスバーには「保護されていない通信」と表示されます。取引先、お客様、採用の応募者は、それを見て何も言わずに離れていきます。
事業者としての責任を問われかねない
個人情報保護法は、事業者に個人情報の安全管理措置を求めています。お問い合わせの内容を暗号化せずに受け取っている状態は、その不備を指摘されかねません。
10秒でできる確認方法
- 御社のホームページを、パソコンやスマホのブラウザで開く
- アドレスバーの URL が「https://」で始まり、鍵マークが付いているかを見る
- 「保護されていない通信」「安全ではありません」と出たら、すぐに対策が必要です
対策は、難しくありません
SSL/TLS 証明書を設定し、http:// へのアクセスを https:// へ自動で転送すれば、多くの場合は今のサイトを作り直さずに対応できます。Onesoft は、HTTPS 化だけのご相談もお受けします。
出典：Google「HTTPS by default」（Chrome 154 で「常に安全な接続を使用する」を標準化）、Google 検索セントラル ブログ「HTTPS as a ranking signal」（2014年8月）
情報流出・改ざんは「よその話」ではありません
不正アクセスによる個人情報の流出、ランサムウェアによる業務停止、Web サイトの改ざん。企業・自治体の規模を問わず、こうした被害の報道は後を絶ちません。IPA（情報処理推進機構）も 2026年7月、WordPress の脆弱性対策について注意喚起を公表しています。
攻撃の多くは自動化されており、弱点のあるサイトを機械的に探して侵入します。「うちは小さいから狙われない」ということはなく、更新や監視の手が回らない小規模なサイトほど、被害に気づくのが遅れがちです。
数字で見る WordPress の現状
出典：Patchstack「State of WordPress Security in 2026」（2026年2月）、W3Techs（2026年9月時点）
よくある「放置」のパターン
プラグインが更新されていない
プラグインの更新が保守契約の範囲外になっていて、誰も更新していない。
担当交代で引き継がれていない
管理者アカウントや更新手順が、前任者や制作会社の手元に残ったまま。
管理画面が誰でも開ける
ログイン画面がインターネットに公開されたままで、総当たり攻撃の的になっている。
復旧の手段がない
バックアップや操作の記録がなく、改ざんされても元に戻せない・原因が分からない。
改ざんや流出が起きたとき、利用者への影響と説明責任は、サイトの持ち主（発注者）に残ります。
問題は WordPress そのものではありません。正しく更新・監視を続ければ安全に使えます。課題は、それを続ける体制がないまま運用されることです。
Onesoft の構成
一般的な WordPress の構成と比べると、攻撃を受ける「入口」の数が違います。
具体的な対策
静的配信で入口を減らす
公開ページはあらかじめ作った HTML として配信し、閲覧のたびにプログラムやデータベースを動かしません。
第三者のプラグインに頼らない
必要な機能は自分たちで実装し、使うライブラリも把握・更新できるものに絞ります。
通信と実行を厳しく制限
CSP（実行してよいスクリプトの限定）、HSTS（常に暗号化通信）など、ブラウザ側の防御を有効にします。
データは国内で、権限と記録を管理
必要に応じて AWS の国内リージョンに保管し、誰が何をしたかの操作記録を残します。
運用手順を文書化
総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」等を踏まえ、権限・操作ログ・運用手順を文書にしてお渡しします。
作った人が運用まで見る
構成を知る開発担当者が保守まで担当し、脆弱性情報が出たときにすぐ判断・対応します。
このサイト自身も、同じ考え方でつくっています
- 全ページを静的なファイルとして配信（サーバでプログラムやデータベースを動かさない）
- ページごとに計算した「許可されたスクリプトだけ」を実行する厳格な CSP
- 常に HTTPS で通信させる HSTS、他サイトへの埋め込みや形式のなりすましを防ぐヘッダー
- フォントも自社のサーバから配信し、外部への不要な通信をしない
- お問い合わせは Google フォームを利用し、このサイトには個人情報を保存しない
御社のサイト、ここを確認してください
- WordPress 本体・テーマ・プラグインを最後に更新したのはいつか
- 使っていないプラグインや、退職者の管理者アカウントが残っていないか
- 管理画面（/wp-admin など）に誰でもアクセスできる状態になっていないか
- 担当者が替わっても、更新手順と管理者情報が引き継がれているか
- バックアップから実際に復元できることを確かめたことがあるか
- お問い合わせフォームの送信内容が、どこに保存されているか把握しているか
既存サイトの点検・移行もご相談ください
今のサイトの構成と運用の状況をお聞きし、必要な対策や、より安全な構成への移行をご提案します。WordPress の更新・保守だけのご相談も歓迎です。
無料で相談する