個人ブログでもセキュリティそんなに大事?

大事です。アクセスが少ないサイトでも、ブルートフォース攻撃は自動化されているので、ターゲットを問わず襲ってきます。最低限の対策は必須。

セキュリティを強化すると、サイトが重くなりますか?

ほとんど影響なし。WAF はサーバー側で高速処理されますし、改ざん検知も定期スキャンなので運用への影響は限定的。

もし侵入されたら、サーバー会社が補償してくれますか?

基本的に補償はありません。バックアップから復元のサポートはありますが、被害の損害賠償までは行いません。だからこそ自衛が大事。

レンタルサーバーのセキュリティ基本、何を見て選ぶか

ウェブサイトを長期運用すると、必ず一度はセキュリティの問題に直面します。

スパムコメントが大量に投稿される
お問い合わせフォームに大量の不正送信
管理画面への不正ログイン試行
サイトが改ざんされる

これらを完全に防ぐのは難しいですが、サーバー側で標準装備している機能を活用すれば、被害は最小化できます。

このページでは、レンタルサーバー選びでセキュリティ観点で何を見るべきか、整理します。

セキュリティ標準装備のチェック項目

レンタルサーバー契約時、確認したい項目:

WAF(Web Application Firewall)
改ざん検知
無料SSL + 自動更新
自動バックアップ
二段階認証(管理画面ログイン時)
IP制限(管理画面アクセス)

これらが標準装備で、追加料金なしのサーバーが安心です。

WAF とは何か

WAF(Web Application Firewall)は、Web アプリケーションへの不正なリクエストを自動的に検知・遮断する仕組み。

SQL インジェクション(データベースを不正操作)
クロスサイトスクリプティング(XSS)
ブルートフォース攻撃(管理画面への大量ログイン試行)

これらを WAF が前段で防ぎます。WAFがあるかないかで、攻撃に対する防御力が大きく違います。

主要レンタルサーバーの WAF 対応:

エックスサーバー:標準装備
ConoHa WING:標準装備
ロリポップ:上位プランで装備
mixhost:標準装備
さくらインターネット:標準装備

WAF 無いプランはほぼ無くなっていますが、念のため契約前に確認を。

改ざん検知

サーバー上のファイルが書き換えられたとき、自動で通知してくれる機能。

「改ざん」というのは、悪意のあるコード(マルウェア、フィッシング用ページ等)を、サイトのファイルに勝手に追加されること。気づかないと数か月放置することも。

主要サーバーは、改ざん検知を標準装備しているか、有料オプションで提供。

例:

ConoHa WING:WordPress セキュリティ強化(標準装備)
エックスサーバー:WordPress テーマ・プラグインの脆弱性スキャン(標準装備)

自動バックアップ

侵入されてサイトが壊された場合の「最終防衛ライン」。

サーバー側で過去7〜14日分のバックアップを自動保管していて、復元が無料 or 安価で可能なサーバーが安心。

別記事 backup-basics wp-backup も合わせて読むと、バックアップ周りの理解が深まります。

SSL 自動化

無料SSL(Let's Encrypt)を 自動で発行・更新 してくれる機能。

90日ごとに更新が必要な SSL を、サーバー側で自動更新してくれるので、ユーザーは設定後に意識せず安全な通信を維持できます。

主要サーバーは全て自動更新対応。「無料SSL あり」と書かれていても、自動更新か手動更新かを確認すると安全。

二段階認証

サーバーの管理画面(コントロールパネル)へのログイン時に、パスワードに加えて、

メールに送られる6桁のコード
Google Authenticator アプリのコード
SMS のコード

を要求する仕組み。万が一パスワードが流出しても、攻撃者は管理画面に入れません。

主要サーバーは対応:

エックスサーバー:SMS 認証
ConoHa WING:メール認証 or Google Authenticator
mixhost:メール認証

ぜひ有効化を。設定は1分で終わります。

IP 制限

管理画面アクセスを、特定の IP アドレスからのみ許可する設定。

「自宅と会社からだけ管理画面にアクセスしたい」場合に有効。世界中からのアクセス試行を物理的に拒否できます。

ただし、固定 IP が必要(モバイル環境では難しい)。法人や、固定回線で運用する場合の選択肢。

攻撃の見える化

「自分のサイトが今、攻撃されている」のを知るには:

サーバー管理画面のアクセスログ
WordPress なら Wordfence Security プラグイン
セキュリティ会社のサービス(法人向け)

ログを見ると、毎日100〜10,000件のログイン試行が来ていることが多いです。これを WAF やセキュリティプラグインが自動防御している、という現状を可視化すると、対策の重要性が見えます。

法人向け強化プラン

法人ユースなら、別記事 choosing-for-corporate でも触れた 法人専用プラン(エックスサーバー Business、ロリポップエンタープライズ等)が安心。

WAF + 改ざん検知 + 不正ログイン防御がフル装備
専用サポート対応
セキュリティインシデント時の代行サービス

月額は割高ですが、セキュリティ要件が厳しい法人なら投資価値あり。

結論

レンタルサーバー選びで「セキュリティ」を判断するなら、

WAF 標準装備
改ざん検知あり
無料SSL 自動更新
自動バックアップ
二段階認証対応

の5点を確認。これらが標準装備のサーバーなら、契約時点で最低限の防御力は確保。

あとは WordPress 側のセキュリティ対策(別記事 wp-security)を組み合わせれば、個人〜中小規模で必要な対策はだいたい揃います。