// security guideline

セキュリティガイドライン

WordPress サイトの構築・コーディングにおいて、
セキュリティ面で確認している項目をまとめています。
小さなコーポレートサイトでも、乗っ取り・改ざん・踏み台として悪用されるリスクがあります。
「情報を持たないサイトだから大丈夫」とは考えず、構築の段階から対策を組み込んだうえで納品しております。
※ 実施する項目は、ご依頼の範囲（コーディングのみ／WordPress 構築／サーバー設定まで）によって異なります。
最終更新：2026年10月

7
categories
23
check items
100%
pre-delivery check
// security in the AI era

AI時代のセキュリティ

生成AIの普及により、脆弱性が見つかってから攻撃に使われるまでの時間は短くなっています。
「更新しておけば大丈夫」とは考えず、重大な脆弱性が公表される前提で、次の3つに取り組んでいます。

  • ✓新たに公表された脆弱性情報を随時確認し、使用中のプラグインが該当しないかをAIで自動照合しています
  • ✓AIが書いたコードは、動いていても安全とは限りません。制作にAIを活用しつつ、コードの安全性は人が最終的に確認します
  • ✓万一のときに備え、サイトの止め方・戻し方の手順をあらかじめ用意しています
01

ログイン・アカウント

4
  • ✓管理者アカウントに、推測されにくいIDと十分な長さのパスワードを設定しているか（パスワード管理ツールで生成し、使い回し・共用をしない）
  • ✓管理者権限を必要最小限の人数にし、クライアントさまには用途に合った権限を割り当てているか
  • ✓ログイン試行回数の制限・ログインエラー表示の統一など、総当たり攻撃への対策を行っているか
  • ✓ログインIDが、投稿者ページや API など外部から見える場所に出ていないかを確認し、出ている場合は対処しているか

※ WordPress の構築をご依頼いただいた場合に実施します。

02

本体・プラグイン・テーマ

4
  • ✓WordPress 本体・プラグイン・テーマを最新の状態で納品しているか
  • ✓不要なプラグイン・テーマは、無効化ではなく削除しているか
  • ✓新しく導入するプラグインは、最終更新日・利用実績・入手元を確認しているか
  • ✓脆弱性情報を日常的に受け取り、使用中のプラグインと照合しているか

※ WordPress の構築をご依頼いただいた場合に実施します（脆弱性情報との照合は、管理を担当しているサイトが対象です）。

03

サーバー・設定

4
  • ✓WAF（不正な通信を遮断する仕組み）がサーバー側で有効になっているか
  • ✓設定ファイルなど、外部から読み取られてはいけないファイルへのアクセスを防いでいるか
  • ✓本番環境でエラー内容が画面に表示されない設定になっているか
  • ✓サポート期間内の PHP バージョンで動作しているか

※ WAF・PHP バージョンはサーバー設定を含むご依頼の場合、そのほかは WordPress の構築をご依頼いただいた場合に実施します。

04

コードの安全性

3
  • ✓出力するデータを、文脈に合わせてエスケープ処理しているか（esc_html()、esc_url()、esc_attr() 等）
  • ✓フォームなどの処理は独自に作らず、実績のある既存の仕組み（プラグイン等）を使っているか
  • ✓生成AIが出力したコードも、上記の観点で人が読んで確認してから使用しているか
05

フォーム・個人情報

3
  • ✓問い合わせ内容をサーバーに保存しない設計（メール送信のみ）を基本にしているか
  • ✓スパム対策（reCAPTCHA 等）が実装されているか
  • ✓全ページが https で表示され、フォームの送信も暗号化されているか
06

バックアップ・復旧

2
  • ✓バックアップの保存先を、サーバーの外部に用意しているか
  • ✓納品前に、バックアップから実際に復元できることを確認しているか

※ WordPress の構築をご依頼いただいた場合に実施します。

07

重大な脆弱性が公表されたとき

3
  • ✓公式の告知・サーバー会社のお知らせで、影響範囲と対応状況を確認しているか
  • ✓修正版が適用されるまで、必要に応じて一時的なアクセス制限で被害を防いでいるか
  • ✓制限の解除後に、不審なファイル・ユーザー・ログインがないかを点検しているか

※ サーバー設定を含むご依頼の場合、または管理を担当しているサイトで実施します。

※ 2026年10月に PHP の重大な脆弱性が公表された際には、管理しているサイトに当日中に一時的なアクセス制限をかけ、サーバー側の修正を確認してから解除しました。

// menu

ご相談いただけること

新規制作だけでなく、既存サイトのご相談も承ります。

  • ✓既存の WordPress サイトのセキュリティ点検（本ガイドラインの項目に沿って現状を確認し、結果をご報告します）
  • ✓PHP・WordPress のバージョン更新への対応（動作確認を含む）
  • ✓重大な脆弱性が公表されたときの、一時対応と点検
  • ✓更新の少ない WordPress サイトの、HTML サイトへの置き換え（ログイン画面やプラグインをなくし、攻撃の入口そのものを減らします）
  • ✓生成AIで作られた WordPress サイト・HTML サイトの、本ガイドラインに沿った点検
// scope

本ガイドラインは、制作時に確認している項目をまとめたものです。
すべての攻撃を防ぐことを保証するものではなく、
サーバーの管理範囲や保守のご契約内容によって、対応できる項目は異なります。

Contact

セキュリティ面のご相談も、
お気軽にどうぞ。

お仕事のご依頼・ご相談はこちらから。
無理な営業等はいたしません。
まずはお気軽にご連絡ください。

お問い合わせフォームへ →