中小企業が自社サイトを脆弱性から守るためにできること12項目

公開：2026年10月13日／最終更新：2026年10月13日／Moshiru 岡﨑悠太

結論：中小企業が自社サイトを守るためにまずやることは、「ソフトを最新にする」「管理画面のログインを固める」「使っていないものを消す」「バックアップをサイトの外に置く」の4つです。ここまでは、専門の担当者がいなくても進められます。

そのうえで、外から見える設定（暗号化・セキュリティヘッダ・メールの送信元認証）を整え、年1回と大きな改修のあとに脆弱性診断で確かめる。これが、限られた人手で続けられる守り方です。

自社サイトを守るためにできること12項目

上から順に、手間が少なく効き目が大きいものを並べています。「誰がやるか」の目安は、後半の表にまとめました。

1. ソフトを最新の状態に保つ

WordPressなどのCMS本体、プラグイン、テーマ、サーバーのソフトに更新が出たら当てます。公表された脆弱性の多くは、更新で直ります。自動更新が使えるものは有効にし、使えないものは「月に1回、更新を確かめる日」を決めておくと続きます。

2. 管理画面のログインを固める

管理画面のパスワードは、ほかで使っていない長いものにし、使える場合は多要素認証（スマホのアプリでの確認など）を有効にします。社内からしか使わないなら、管理画面にアクセスできる場所（IPアドレス）を絞るのも有効です。

3. 使っていないプラグイン・テーマ・アカウントを消す

止めているだけのプラグインや、辞めた人・昔の制作会社のアカウントは、更新されないまま残りがちです。使っていないものは消し、残すアカウントは「誰の、何のためのものか」を一覧にしておきます。

4. バックアップをサイトの外に置き、戻せるか試す

バックアップは、サイトと同じサーバーの中だけでなく、別の場所にも保管します。年に1回は、実際に戻せるかを試しておくと安心です。

5. 全ページをHTTPSにし、証明書の期限を管理する

すべてのページを暗号化（HTTPS）で表示し、HTTPで来たアクセスもHTTPSに転送します。証明書は自動更新にし、期限切れの通知が届く先を決めておきます。

6. セキュリティヘッダを設定する

セキュリティヘッダは、ブラウザに「このサイトはこう守ってほしい」と伝える設定です。代表的なものは、HTTPSだけで接続させるHSTS、ほかのサイトに埋め込ませない設定（frame-ancestors／X-Frame-Options）、読み込んでよい場所を決めるContent-Security-Policyです。

7. ソフトの名前やバージョンを外に出さない

ページの中やサーバーの応答に、使っているソフトのバージョンが表示されていることがあります。必要のない表示は消しておくと、外から調べられる情報が減ります。

8. メールの送信元認証（SPF・DKIM・DMARC）を設定する

サイトと同じドメインでメールを送っているなら、送信元認証を設定します。なりすましメールを防ぐ設定で、GmailやYahoo!メールは、これが足りないメールを迷惑メール扱いにすることがあります。

9. 問い合わせフォームやログイン画面は、作るときに入力のチェックを入れる

自社で作ったフォームや会員機能は、入力された文字をそのまま使わない作りにする必要があります。IPAの「安全なウェブサイトの作り方」に、作るときの注意点がまとまっています。制作を頼むときは、これに沿って作ってもらうよう依頼に書いておきます。

10. 制作会社・保守会社との役割分担を書面にする

「更新は誰が当てるのか」「何かあったとき誰に連絡するのか」を、契約書やメールで残しておきます。サイトを作った会社と連絡がつかなくなっている場合は、まず管理画面とサーバーのログイン情報が自社にあるかを確かめます。

11. 連絡先を公開しておく（security.txt）

外部の人が問題に気づいたときに連絡できるよう、窓口のメールアドレスを公開しておきます。/.well-known/security.txtという決まった場所に置く方法が、RFC 9116で定められています。

12. 年1回と大きな改修のあとに、脆弱性診断で確かめる

1〜11ができているかは、外から確かめてはじめて分かります。年に1回、そしてサイトを大きく作り替えたあとに診断を受けると、取引先のセキュリティチェックシートの「脆弱性診断を実施していますか」という設問にも、事実として「はい」と答えられます。

誰がやるかの目安

項目	自社でできる	制作会社・専門家へ
1〜4（更新・ログイン・不要なものの削除・バックアップ）	○	サーバーのソフトの更新
5〜8（HTTPS・ヘッダ・バージョン表示・メール認証）	△	設定の変更（サーバー・DNS）
9（フォーム・ログインの作り）	×	作る段階で依頼
10〜11（役割分担・連絡先）	○	—
12（脆弱性診断）	×	外部の診断

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）でも、付録の「5分でできる！情報セキュリティ自社診断」に「ウェブサイトを安全に運用する」という項目が加わっています。まずはこの自社診断で、今の状態を確かめるのもおすすめです。

よくある質問

小さな会社のサイトでも、対策は必要ですか？

はい。脆弱性を探す自動の仕組みは、会社の大きさに関係なく公開されているサイトを広く調べます。上の1〜4は費用をかけずにできるので、まずそこから始めてください。

Shopify・Wixなどのサービスで作ったサイトは？

サーバーやソフトの更新はサービス事業者が行います。自社で行うのは、管理画面のログイン（2と3）と、入れているアプリ・連携の整理です。こうしたサイトは、サーバーの管理者がサービス事業者のため、外部からの脆弱性診断の対象にはなりません。

脆弱性診断の費用はどれくらいですか？

自動のツールで調べるものから、専門家が画面を1つずつ手で確かめるものまで幅があります。Moshiruでは、外から見える範囲の無料スキャンと、5万円からの診断をご用意しています。

他社のサイトを勝手に診断してもよいですか？

いいえ。診断は、サイトの管理者から対象と範囲について許可を得てから行うものです。Moshiruも、許可をいただく前にサイトを調べることはありません。

今の状態を、無料で確かめる

Moshiruは、許可をいただいたサイトを外から見える範囲で無料スキャンし、件数と重要度をお返しします。直し方や報告書が必要なときも、打合せなし・テキストのやり取りだけで完結します。

無料スキャンを申し込む対象のURLと実施の許可だけ。入力5分