ホームページのセキュリティ点検とは、サイトを動かしている仕組みが古くなっていないか、管理画面の入口が守られているか、問い合わせで受け取る情報が安全に扱われているかを、第三者の目で確かめて、直すべきところと順番をはっきりさせる作業です。この記事では、点検で見てもらう項目、費用が変わる要素、依頼前の準備、自分でできる確認を、Webサイトの制作と管理をしている会社の立場から整理します。
ホームページのセキュリティ点検とは
ひとことで言うと、ホームページの「戸締まり」を確かめる作業です。点検は「見て、報告する」までで、見つかったところを直す作業は別に考えます。
点検には大きく2つのやり方があります。1つは、誰でも見られるサイトの表側から確かめる「外からの点検」です。ログイン情報がなくても進められます。もう1つは、管理画面やサーバー会社の画面に入って確かめる「中からの点検」です。部品（WordPressの追加機能＝プラグインなど）が最新かなど、中に入らないと分からないことを見ます。
まず外から全体を見て、気になるところがあれば中まで確かめる順番にすると、手間と費用のバランスが取りやすくなります。
小さな会社のサイトでも点検したほうがよい理由
いまの攻撃の多くは相手を選ばず、古い仕組みのまま動いているサイトを機械的に探して入り込もうとします。会社の規模より、サイトがどれだけ手入れされているかのほうが影響します。
入り口として使われやすいのは「古いまま」の部分
IPA（情報処理推進機構）が全国の中小企業4,191社に行った調査では、不正アクセスを受けた企業の侵入経路として、もっとも多かったのが「脆弱性（セキュリティパッチの未適用など）を突かれた」で48.0%でした。脆弱性とは仕組みの中の「すき間」のことです。ホームページでいえば、PHP（サイトを動かすプログラムの言語）やWordPress、プラグインの更新が止まっている状態がこれに当たります。
被害が取引先に広がることがある
同じ調査では、サイバー攻撃の被害を受けた企業のうち約7割が「取引先にも影響があった」と答えています。侵入経路として「取引先やグループ会社等を経由して侵入」も19.8%ありました。広く報じられた例では、2022年2月に自動車部品メーカーの小島プレス工業がサイバー攻撃を受けてシステムを止め、取引先のトヨタ自動車が国内14工場28ラインの稼働を1日止めました。報道によると、侵入の起点は子会社が取引先との通信に使っていた機器の脆弱性だったとされています。
ホームページが直接こうした被害につながるとは限りませんが、手入れの行き届いていない部分が、取引先や顧客に迷惑をかける入り口になる可能性はあります。
取引先から対策の状況を聞かれる場面が増えている
IPAが2026年1月に発表した「情報セキュリティ10大脅威 2026」の組織編では、「サプライチェーンや委託先を狙った攻撃」が2位に入りました。経済産業省も、取引先どうしでセキュリティ対策の状況を確かめやすくする評価の仕組みづくりを進めています。対策の説明を求められたとき、点検の結果と直した内容がそのまま答えの材料になります。
2026年10月にはPHPの重大な脆弱性が公表され、国内のサーバー会社が相次いで対応に追われました（経過は2026年10月21日、PHPの重大な脆弱性で何が起きたか（まとめ）とPHP脆弱性（2026年10月）の総括）。弊社はこれまでに300サイト以上をチェックしてきましたが、このときもお客様のサイトを外から点検して結果をお伝えしました。いちばん多かったのは「どこを見ればいいのか分からない」という声でした。
点検で見てもらう項目の一覧
点検で見る項目は、おおむね次の6つに分けられます。見積もりや報告書を受け取ったら、この6つがどこまで含まれているかを照らし合わせると、抜けに気づきやすくなります。
| 項目 | 何を見るか | 手入れしないと起こりうること |
|---|---|---|
| サイトを動かす仕組み | PHP・WordPress・プラグイン・テーマの版 | 公表済みのすき間から入られる |
| 管理画面の入口 | ログインの守り方、管理者アカウント | なりすましでログインされる |
| 問い合わせフォーム | 受け取った情報の送り先と保存のされ方 | 入力された情報が漏れる |
| 通信の暗号化 | https になっているか、証明書の期限 | 警告が出て、入力内容が守られない |
| 見せなくてよい情報 | 版の表示、管理者名、古いファイル | 攻撃の手がかりを与える |
| バックアップ | 取っている場所と、戻せるかどうか | 何かあったときに元に戻せない |
サイトを動かす仕組みの古さ
もっとも大切な項目です。PHP、WordPressの本体、プラグイン、テーマのそれぞれについて、いまの版と最新の版を比べ、作り手のサポートが終わっていないかを確かめます。PHPの版の意味はPHPのバージョンとは？初心者向けに更新の必要性と確認方法をやさしく解説で詳しく説明しています。
管理画面の入口とアカウント
ログイン画面のアドレスが初期設定のままか、パスワードを何回も試されたときに止める仕組みがあるか、ログインのときにスマホなどで2回目の確認をする「2段階認証」を使っているかを見ます。手順はWordPressの不正ログイン対策にまとめています。
問い合わせフォームと受け取る情報
お客様の名前や電話番号を受け取るフォームは、情報の扱いに直結します。入力された内容がどこに送られ、サイトの中に保存されているか、保存されているなら誰が見られるかを確かめます。
通信の暗号化と証明書
サイトのアドレスが「https」で始まり、すべてのページが暗号化されているか、暗号化のための証明書の期限が切れていないかを見ます。証明書の種類はSSL証明書の選び方で比べています。
見せなくてよい情報が表に出ていないか
使っている仕組みの版の番号、管理者のログイン名、制作途中に置いたままの古いファイルやテスト用のページなどが、外から見えていないかを確かめます。単独で被害につながるものではありませんが、攻撃の手がかりになります。
バックアップと戻し方
サイトの控え（バックアップ）を取っているか、それがどこにあるか、実際に元に戻せるかを確かめます。控えがサイトと同じ場所にしかないと、サイトごと使えなくなったときに一緒に失われることがあります。方法はWordPressバックアップ完全ガイドでも紹介しています。
依頼する前に準備しておくもの
点検でいちばん時間がかかるのは、持ち主側の情報集めです。次の5つを先にそろえておくと、話が早く進み、見積もりもぶれにくくなります。全部そろわなくても相談はできます。
ステップ1｜持っているサイトの一覧を作る
会社のホームページだけでなく、採用サイト、キャンペーン用のページ、ネットショップなど、会社として持っているサイトをすべて書き出します。昔作って放置しているページが、いちばん手入れされていないことがよくあります。それぞれのアドレス（ドメイン）と、借りているサーバー会社の名前も並べておきます。
ステップ2｜契約とログイン情報のありかを確かめる
サーバー会社の管理画面、ドメインの管理画面、WordPressの管理画面に、自社で入れるかどうかを確かめます。パスワードそのものではなく、どこに保管してあるかが分かれば十分です。誰も入れない状態だと、点検は外からに限られ、直すときにも時間がかかります。
ステップ3｜作った会社と、いま管理している人を書き出す
サイトを作った制作会社、いま更新している人、保守の契約があるかどうかを確かめます。保守の契約があるなら、その中に更新や点検が含まれているかも見ておきます。分からない場合は、請求書や昔のメールから探せることがあります。
ステップ4｜気になっていることをメモする
「サーバー会社から更新のお知らせが来た」「最近、迷惑な問い合わせが増えた」「表示が遅くなった」など、気になっていることを日付と一緒にメモします。画面に出たメッセージやメールは、消さずにスクリーンショットで残しておきます。
ステップ5｜点検のあとに直す人を決めておく
点検で問題が見つかったときに、誰が直すかを先に考えておきます。ここが決まっていないと、報告書を受け取ったまま止まってしまうことがあります。
費用の考え方｜金額が変わる4つの要素
点検の費用は、依頼先ごとに大きく違い、同じ「点検」という言葉でも中身がそろっていません。金額だけで比べるより、何が含まれているかで比べるほうが失敗が少なくなります。見積もりを読むときは、次の4つの要素を確かめてください。
| 要素 | 費用が上がりやすい場合 | 見積もりで確かめること |
|---|---|---|
| 点検の深さ | 管理画面やサーバーの中まで見る | 外からだけか、中まで見るか |
| サイトの数と規模 | サイトが複数ある、ページや機能が多い | 何サイト・どこまでが対象か |
| 修正を含むか | 見つかったところを直すまで頼む | 報告まで、修正まで、どちらか |
| 点検後の見守り | 定期的な更新や点検を続けて頼む | 1回きりか、続けて見てもらうか |
制作の現場で見ていると、点検だけを頼んで報告書を受け取り、直す段階で別の見積もりが必要になって時間が空いてしまうことがあります。点検と修正をまとめて頼むか、少なくとも直すときの進め方まで最初に話しておくと、見つかった問題を放っておく期間を短くできます。PHPの版を上げる作業は表示の確認をしながら進めるため、サイトの作りによって手間が変わります。
依頼する前に自分でできる確認
専門の道具がなくても、持ち主が自分で確かめられることがあります。気になる点は依頼時に伝える材料になります。ただし、ここで問題がなくても中の仕組みまで安全とは限りません。
アドレスが「https」で始まり、警告が出ないか
パソコンとスマホの両方で自社のサイトを開き、アドレス欄に「保護されていない通信」などの警告が出ないかを見ます。問い合わせフォームのページも確かめてください。
サーバー会社の管理画面でPHPの版を見る
多くのレンタルサーバーでは、管理画面の「PHPのバージョン」の画面で、サイトごとの版を確かめられます。表示された数字が、PHPの公式サイトでサポート中の版かどうかを比べます。エックスサーバーの場合の画面の見方はエックスサーバーのPHP脆弱性対応（2026年10月）で手順を追って説明しています。
WordPressの「更新」の通知が溜まっていないか
WordPressの管理画面の左のメニューにある「ダッシュボード」の中の「更新」を開くと、本体やプラグインに新しい版が出ているかが一覧で出ます。通知が溜まっていれば、しばらく手入れされていない合図です。更新ボタンは、バックアップを取る前には押さないでください。
使っていない管理者アカウントが残っていないか
管理画面の「ユーザー」を開き、権限が「管理者」になっている人を確かめます。辞めた担当者や以前の制作会社のアカウントが残っていたら、消す前に誰のものかを確かめ、管理者と相談して整理します。
点検のご相談自分のサイトが当てはまるか判断しにくいときは、制作会社に一度見てもらう方法もあります。
点検と修正について見る依頼先の選び方と、頼むときの注意点
点検を頼む先は、いまサイトを管理している制作会社、サーバー会社の有料サービス、点検を専門にしている会社などがあります。点検のあとにどこまで任せたいかで選び、最初の相談で次の点を確かめておくと食い違いが起きにくくなります。
- 報告の中身を、専門用語を使わずに説明してもらえるか（報告書の見本があれば見せてもらう）
- 点検で見る範囲と、見ない範囲がはっきり書かれているか
- 見つかった問題に、直す順番（急ぐもの・後でよいもの）を付けてもらえるか
- 修正まで頼めるか、頼めない場合は誰に渡せばよいか
- ログイン情報の受け渡し方と、点検が終わったあとの扱いが決まっているか
ログイン情報は、メールの本文にそのまま書いて送るのは避けてください。点検のためだけの一時的なアカウントを作ってもらい、終わったら消す方法が安全です。
公的な無料の相談先もあります。中小機構の「サイバーセキュリティ特別相談窓口」では、何から手を付ければいいかといった相談に乗ってもらえます。詳しくは中小機構のサイバーセキュリティ特別相談窓口とはをご覧ください。
よくある失敗と注意点
点検を頼んだあとにつまずきやすいところです。どれも最初に決めておけば避けられます。
- 報告書を受け取って安心し、直す作業が始まらないまま時間がたつ。直す担当と期限を、報告を受けた日に決めておきます
- 会社のホームページだけ点検して、昔のキャンペーンページや採用サイトが対象から漏れる。準備のステップ1の一覧を使って、対象を照らし合わせます
- 点検の前に慌てて更新ボタンを押し、表示が崩れる。更新は、バックアップを取ってから、確認の手順を決めて進めます
- ログイン情報が誰にも分からず、点検も修正も進まない。サーバー会社の本人確認の手続きで取り戻せることが多いので、早めに問い合わせます
- 一度点検して終わりにしてしまう。仕組みの更新は毎月のように出るため、点検は年に1回など、続ける前提で考えます
すでに「改ざんされたかもしれない」「見覚えのないページがある」といった様子がある場合は、点検より先に、サーバー会社と管理している制作会社に連絡してください。慌ててファイルを消すと、原因を調べる手がかりがなくなることがあります。2026年に公表された事案の傾向は不正アクセスの報告一覧（2026年9〜10月）にまとめています。
よくある質問
セキュリティ点検はどのくらいの頻度で受ければよいですか？
年に1回を目安に、あわせて大きな脆弱性が公表されたときやサイトを作り直したときに受けるのがおすすめです。点検の合間は、更新を止めない仕組みのほうが大切です。
ほかの会社が作ったサイトでも点検してもらえますか？
多くの場合はできます。外からの点検は、ログイン情報がなくても進められます。中まで確かめる場合は、サイトの持ち主として管理画面に入れることが条件になります。
点検でサイトが止まったり、表示が変わったりしませんか？
見るだけの点検で表示や設定が変わることはありません。影響が出るおそれがあるのは更新などの修正作業のほうなので、その前にバックアップと元に戻す手順を確かめます。
WordPressではないサイトも点検の対象になりますか？
なります。手作りのHTMLのサイトでも、問い合わせフォームにPHPを使っていることがあります。WixやStudioのようなサービスで作ったサイトは、仕組みの更新はサービス側が行うため、点検はアカウントの守り方や公開している情報が中心になります。
点検で問題が見つかったら、すぐに直さないといけませんか？
すべてを同時に直す必要はありません。仕組みの更新や不要な管理者アカウントの整理など、入られる可能性に直結するものから進めます。報告書で急ぐものを分けてもらうと判断しやすくなります。
点検を受けておけば、被害を受けることはありませんか？
点検は、その時点で分かっている入り口を減らすためのもので、被害がまったく起きないことを約束するものではありません。点検のあとも、更新を続ける、パスワードを使い回さない、バックアップを別の場所に残すといった手入れで、可能性を小さくしていきます。
ホームページの点検と修正
自社のサイトがいまどうなっているか、一度確かめてみませんか
サイトを動かしている仕組みが古くなっていないか、使っていない機能が残っていないか、管理画面の入口が守られているか。制作会社の目で外から確認し、必要な修正までお手伝いします。結果は専門用語を使わずにご説明します。
他社が作ったサイトも、まずはご相談ください。
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から、公開後の更新・点検・修正までまとめてご相談いただけます。お問い合わせはこちら。
