海外からのアクセスは、サイト全体を国ごとブロックするのではなく、「管理の入口だけ国外を止める」のがおすすめです。弊社が管理する21サイトの1日分のアクセス記録を集計すると、攻撃の下見はほとんどが海外からでした。ただ海外からのアクセスにはGoogleやChatGPTなどの検索・AIも大量に含まれ、日本の人が海外に見えるケースもありました。その数字を見ながら、止めてよい場所の目安をまとめます。

先に結論：止めるのは「管理の入口」だけ

ログイン画面や管理画面のような「管理する人だけが使う入口」は、国外を止めても困る人はいません。一方、サイト全体を国ごと止めると、検索やAI検索に載らなくなったり、日本のお客さんまで弾いたりするおそれがあります。

「海外は全部止めてしまえばいい」というご相談はよくいただきますし、その気持ちもよく分かります。ただ記録を見ると、海外から来ているのは攻撃だけではありませんでした。

どんな記録を調べたのか

調べたのは、弊社が保守・管理しているホームページ21サイトの、2026年10月28日の1日分のアクセス記録です。サイトは伏せ、合計の数字だけを使っています。

アクセス記録には、相手の「IPアドレス」（インターネット上の住所のような番号）が残ります。これを、APNIC（アジア太平洋地域でIPアドレスの割り当てを管理している機関）が公開する日本向けの一覧と照らし合わせて、国内か海外かを分けました。

あわせて、人の閲覧、検索エンジンやAIのクローラー（ページを自動で見て回り、検索結果やAIの回答の材料を集めるプログラム）、SEOツールのロボット、攻撃の下見・試行に種類を分けています。

なお1日分の記録なので、日によって数字は変わります。おおよその傾向として読んでください。

1日16万件のうち、海外からは3割だった

1日の総アクセス（リクエスト）は161,831件で、そのうち海外のIPアドレスからは48,965件、全体の30.3%でした。種類ごとに分けると、見え方がかなり変わります。

人の閲覧は8割が国内からです。一方で検索エンジンは7割以上、AIのクローラーはほぼすべてが海外から。攻撃の下見・試行も9割近くが海外で、下見をしてきたIPアドレス458個のうち456個（99.6%）が海外でした。

「攻撃はほぼ海外から」は記録の上でも当たっています。ただ同時に、「海外から来るもの＝攻撃」ではないこともはっきりしました。

海外からの攻撃は、管理の入口で止まっていた

管理の入口を狙った海外からのアクセスは、ほぼすべて「門前払い」でした。サーバーが「ここには入れません」と返して通さないことで、記録には「403」という番号で残ります。

弊社の管理サイトでは全サイトで、サーバー側の「国外IPアクセス制限（管理画面・XML-RPC・REST API）」と「ログイン試行回数制限」を有効にしているためです。

ログイン画面：583件すべて門前払い

ログイン画面への機械的なアクセスは、IDとパスワードを当てずっぽうで試すための下準備であることが多いです。入口の手前で止まっているので、パスワードを試されること自体が起きていません。

ユーザー名を探る入口：256件すべて門前払い

REST APIは、WordPressが外のプログラムとデータをやり取りする窓口です。その中の「ユーザー一覧」から、ログインに使う名前を探ろうとするアクセスでした。名前が分かるとあとはパスワードを当てるだけになるので、ここを閉じておく意味は大きいと感じています。

外部連携の入口と初期設定画面

XML-RPC（xmlrpc.php）は、スマホアプリや外部サービスからWordPressに投稿するための古い連携の入口で、一度に何度もログインを試せるため攻撃に使われやすい場所です。WordPressを設置するときの初期設定画面（install.php）も、あわせて狙われていました。

設定ファイル探し：中身は出ていない

「.env」という設定ファイルを探すアクセスも364件ありました。データベースのパスワードなどを書いておくことがあるファイルで、うっかり公開されていないかを探しに来ます。管理サイトには置いていないため、「ありません（404）」か「門前払い（403）」が返り、中身が外に出たものはありませんでした。

サイト全体を国ごと止めると困ること

ここまでだと「やはり海外は全部止めればいい」と思えるかもしれません。ですがサイト全体を国ごと止めると、止めてはいけないものまで止まってしまいます。

GoogleやBingの巡回ロボットも海外から来る

検索やAIのクローラーは、ほとんどが米国など海外のIPアドレスから来ていました。

海外を国ごと止めると、Googleがページを読めなくなり、新しいページが検索に載らない、更新が反映されないといったことが起きる可能性があります。日本のお客さんのためのサイトが日本の検索から消えるのは本末転倒です。

ChatGPTなどのAI検索にも載らなくなる

ChatGPTやPerplexityに質問して、答えに出てきたサイトを見に行く人が増えています。ChatGPTの検索用クローラー（OAI-SearchBot）は1日602件、PerplexityBotは417件来ていました。止めると、AIの回答で紹介される機会も減ります。

日本のお客さんが「海外」に見えることがある

今回いちばん意外だったのがこれです。ChatGPTの回答のリンクから来た閲覧は1日992件で、うち237件（約24%）が海外のIPアドレスに見えていました。

調べると、237件すべてが「104.28.x.x」で始まるアドレスからのWindowsパソコンでした。Cloudflare社のWARPのような、通信を経由させるサービスの出口です。これを使うと、日本にいる人でもサイトからは海外に見えます。国ごとに止めると、こうしたお客さんまで弾きます。なおGeminiのリンクからは14件、Copilotからは2件でした。

国内からの攻撃は、国ごとブロックでは止まらない

攻撃の下見・試行は国内からも233件ありました。国ごとブロックは国内からの攻撃には効かないので、ログイン試行回数の制限、推測されにくいパスワード、WordPressやプラグインの更新といった基本の対策は変わらず必要です。

判断の目安：どこを止めて、どこを開けておくか

迷ったときは「その場所を海外から使う正当な相手がいるか」で考えると整理しやすいです。

管理の入口は国外を止める

ログイン画面、管理画面、XML-RPC、REST APIのユーザー一覧は、海外から使う正当な相手がいないので、国外を止めて問題ありません。

サイト全体は国ごとには止めない

お客さんが見るページは、海外のお客さんがいない会社でも、国ごとには止めないほうが安全です。

実害が出たら、相手を絞って止める

「サーバーが重い」「同じ相手から大量に来ている」といった実害が出たら、そのIPアドレスやロボットだけを止めます。国という大きな単位より、巻き添えが出ません。

国ごと止めてよいのは、条件がそろったときだけ

考えてよいのは「海外から正当に見に来る人がいない」うえに「実害が出ている」ときです。その場合も、検索やAIのクローラーは通す仕組みが前提です。たとえばCloudflare（サイトの手前に置いて通信を整理するサービス）では、Googlebotのような身元のはっきりしたロボットを許可したうえで国ごとに止められます。CloudflareについてはCloudflareでできること一覧でも紹介しています。

エックスサーバーで国外IPアクセス制限をONにする流れ

エックスサーバーなら、サーバーパネルの「WordPressセキュリティ設定」で管理の入口だけ国外を止められます。画面の名前は変わることがあるので、最新の手順は公式マニュアルもご確認ください。

ステップ1｜サーバーパネルにログインする

エックスサーバーのアカウントにログインし、「サーバーパネル」を開きます。ログイン情報が分からない場合は、管理している会社に確認してください。

ステップ2｜「WordPressセキュリティ設定」を開く

サーバーパネルのメニューにある「WordPress」の欄から、「WordPressセキュリティ設定」を開きます。

ステップ3｜ドメインを選び、「国外IPアクセス制限」のタブを開く

設定したいサイトのドメインを選び、「国外IPアクセス制限」のタブを開くと、いまの状態が表示されます。すでにONのこともあるので、まず現状を確かめてください。

ステップ4｜管理画面・XML-RPC・REST APIの制限をONにする

管理画面（ダッシュボード）、XML-RPC、REST APIの3つの制限をONにして保存します。お客さんが見るページはそのままです。

ステップ5｜「ログイン試行回数制限」もあわせて確かめる

同じ画面の「ログイン試行回数制限」も確認します。ログインの失敗が続いた相手を一時的に止める機能で、国内からの試行への備えになります。

ほかのサーバーでも同じような機能があることが多く、見当たらなければWordPressのセキュリティ用プラグインで同じことができます。

設定したあとに困りやすいこと

ふだんの運用で困ることはほとんどありませんが、次の2つは知っておくと慌てずにすみます。

海外出張先や経由サービスから管理画面に入れない

担当者が海外にいるときや、WARPやVPNのような経由サービスを使っているときは、自分が「海外から」と判定されて管理画面に入れないことがあります。経由サービスを一時的に切るか、設定を一時的に変えて対応します。

海外の外部サービスとの連携が止まる

海外にサーバーがある外部サービスから、XML-RPCやREST APIで投稿やデータのやり取りをしている場合、その連携が止まる可能性があります。ONにしたあと連携が動いているか一度確かめ、止まっていたらサーバー会社や制作会社に相談してください。

よくある質問

Q. 海外のお客さんがいないなら、サイト全体を国ごと止めてもいいですか？

A. おすすめしません。GoogleやChatGPTの検索のクローラーは海外から来るため、検索やAI検索に載らなくなるおそれがあります。

Q. 管理画面の国外制限をONにすると、お客さんに影響はありますか？

A. ありません。止まるのは管理の入口だけで、ページはこれまでどおり表示されます。

Q. 国外を止めれば、ほかの対策はいらなくなりますか？

A. 続けてください。今回も攻撃の下見・試行のうち233件は国内からでした。点検で何を見るかはホームページのセキュリティ点検とはにまとめています。

Q. アクセス解析で海外からの訪問が多いのは、攻撃されているということですか？

A. そうとは限りません。今回も人の閲覧の約2割が海外のIPアドレスで、経由サービスを使う日本の人も含まれていました。

Q. 自社のサイトで国外制限が入っているか、どうやって確かめればいいですか？

A. エックスサーバーなら「WordPressセキュリティ設定」の画面で確かめられます。サーバーに入れないときは、外から見える範囲で確かめる方法もあります。

まとめ

21サイトの1日分の記録では、攻撃の下見をしてきたIPアドレスの99.6%が海外でした。一方で、検索やAIのクローラーもほとんどが海外から来ていて、ChatGPTのリンクから来た閲覧の約4人に1人は海外に見えていました。

止めるのは管理の入口だけにして、サイト全体は開けておく。実害が出たら相手を絞って止める。この順番なら、検索やお客さんを失わずに入口の守りを固められます。

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から、公開後の更新・点検・修正までまとめてご相談いただけます。お問い合わせはこちら。