サイトのセキュリティ対策

最終更新日：2026年10月15日

弊社では、すべてのサイトに標準でセキュリティ対策が適用されます。お客様による特別な設定は不要です。以下、脆弱性対策など、標準で適用されるセキュリティ対策から、ボット対策や自動更新、バックアップ、アクセス制限など、必要に応じて設定・管理できる機能までご紹介します。

標準で適用されるセキュリティ対策

ファイアウォールとDDoS対策： Cloudflareのエンタープライズレベルのファイアウォールがサイトへのトラフィックを監視し、ハッキングの試みやDDoS攻撃に関連するIPアドレスからのアクセスを、サーバーに到達する前にブロックします。
悪意のあるトラフィックのブロック：プラットフォームレベルのセキュリティ対策により、悪意があると判定されたトラフィック（全体の約15〜20%）を、サイトに影響が及ぶ前にブロックします。
脆弱性対策：プラグイン、テーマ、WordPress本体に存在する既知の脆弱性を悪用した攻撃を、修正プログラムが公開される前でもブロックします。
毎日の脆弱性スキャン： MyKinstaでは、すべてのプラグインとテーマを毎日スキャンし、既知のセキュリティ上の脆弱性がないか監視します。
毎日のバックアップと稼働状況監視：サイトのバックアップを毎日自動で作成し、3分ごとに稼働状況を確認します。

脆弱性対策

WordPressサイトへの攻撃の多くは、プラグインやテーマの既知の脆弱性を狙ったものです。脆弱性が公表されてから修正プログラムがリリースされ、サイトに適用されるまでには時間がかかることがあり、その間は特に攻撃のリスクが高まります。

仕組み： Patchstackを利用した脆弱性対策は、最新の脆弱性データベースを参照し、WordPress本体、プラグイン、テーマに既知の脆弱性がないか確認します。サイトに影響する脆弱性が見つかった場合は、プラグインやテーマのファイルを変更することなく、その脆弱性を悪用しようとするリクエストをブロックします。

この機能は、ファイアウォールやボット対策機能とは異なる仕組みでサイトを保護します。ファイアウォールやボット対策機能がアクセス元に着目し、悪意のあるアクセスを検出・ブロックするのに対し、脆弱性対策はリクエストの内容に着目します。そのため、一見正規のアクセス元から送信されたリクエストでも、脆弱性を悪用した攻撃であればブロックできます。

開始方法：特別な設定は不要です。追加料金もかかりません。MyKinstaで作成されたすべてのWordPressサイトに必須プラグインとして自動的にインストールされます。新規サイトには2026年10月7日から、既存サイトには同年10月14日から導入されています。有効になっているかどうかは、MyKinstaの対象サイトの「情報」画面に表示されるステータスで確認できます。

注意点

更新の代わりにはならない：脆弱性対策は、既知の脆弱性を悪用した攻撃をブロックするものであり、脆弱性そのものを修正するわけではありません。修正プログラムが公開されたら、速やかにプラグインやテーマを更新してください。
独自に導入したPatchstackプラグイン：独自のPatchstackプラグインがインストールされている場合、そのサイトでは脆弱性対策が無効になり、独自のPatchstackライセンスが必要になります。プラグインを削除すると、12時間以内に脆弱性対策が有効になります。
マルウェアの検出・駆除には非対応：脆弱性を悪用した攻撃を防ぐための機能であり、すでにサイトに侵入したマルウェアを検出・削除するものではありません。サイトがすでに不正アクセスなどの被害を受けている場合は、マルウェアの駆除をご覧ください。
無効化はできない：脆弱性対策が原因でサイトに問題が発生していると思われる場合は、サポートにお問い合わせください。弊社エンジニアが原因を調査します。

ボット対策

サイトへの不要なアクセスが、必ずしも明らかな悪意を持つものとは限りません。スクレイピングツール、スパムボット、過剰な頻度でアクセスするクローラーなどは、サイトの表示速度を低下させたり、アクセス解析のデータに影響を与えたり、プランのリソース使用量を増加させたりする可能性があります。ボット対策では、こうしたトラフィックに対する対策の厳しさを調整できます。

対策レベルの選択

悪意のあるトラフィックをブロック（デフォルト）：攻撃、DDoS攻撃、不正利用に関連するトラフィックをブロックします。ほとんどのサイトで、日常的に使用するのに適した設定です。
自動トラフィックをブロック：上記に加え、自動化されたアクセスと判定されたトラフィックもブロックします。原因不明のアクセスやリソース使用量の増加が見られる場合に役立ちます。
ボットを検証：上記に加え、ボットの可能性があるアクセスに対して検証を要求します。不正な購入手続き、フォームへのスパム送信、ログイン攻撃、スクレイピングなどの対策に有効です。
すべてのトラフィックを検証：すべての訪問者に検証を要求します。攻撃を受けている最中や、新サービスの公開などでアクセスが集中する際に、一時的に使用することをおすすめします。

なお、GooglebotやBingbotなどの検証済みボットは、どの対策レベルでも許可されるため、検索順位への影響はありません。また、一度検証に成功した訪問者は、同じブラウザとIPアドレスを使用している限り、少なくとも10日間は再検証を求められません。

対策レベルを引き上げるタイミング：アクセス数が急増した場合、原因不明のパフォーマンス低下が発生した場合、セールや新サービスの公開を控えている場合などに検討してください。MyKinstaの「分析」画面にある「訪問数」チャートや「パフォーマンス」タブのグラフから、こうした変化を確認できます。詳しくは、トラフィックとリソース使用状況の把握をご覧ください。

開始方法： MyKinstaで「サイト」＞（サイト名）＞「ボット対策」に移動し、「対策レベル」の「変更する」をクリックします。複数のサイトをまとめて変更する場合は、「サイト」画面で対象のサイトを選択し、「操作」＞「ボット対策」＞「ボット対策レベルの変更」に進みます。

注意点

プラグインと外部サービスとの連携：デフォルトより高い対策レベルでは、サイトに接続するプラグインや外部サービスがブロックされる可能性があります。フォームとCRMの連携、SEOツール、Zapier、決済サービスのWebhookなどが該当します。「通常のWordPress自動処理を許可」を有効にするか、サービスごとに例外ルールを追加してください。
訪問者への影響：すべてのアクセスを検証する設定では、訪問者に追加の検証手順が表示されます。また、支援技術を使用している訪問者にとっては、検証が難しい場合もあります。この対策レベルは短期間の使用にとどめることをおすすめします。
他のセキュリティサービスとの併用：ボット対策は、リバースプロキシや、Sucuri、他のCDN、AWS、Azureなどのサードパーティサービスとは併用できません。

例外：特定のIPアドレス、パス、ユーザーエージェント、国・地域からのアクセスに対して、常に許可、検証、ブロックのいずれかを適用するルールを最大50件まで設定できます。複数のルールが重複する場合は、「許可」→「検証」→「ブロック」の優先順位で適用されます。

AIクローラーのブロック

AIクローラーは、AIツールの学習や機能の提供に使用するコンテンツを収集します。クローラーによっては大量のリクエストを送信するため、サーバーのリソースを消費したり、アクセス数を実際よりも多く見せたりする可能性があります。

利用を検討したいケース：大量のコンテンツを含むページがAIクローラーによって頻繁にスクレイピングされている場合、サーバーに負荷がかかっている場合、有料コンテンツやアクセス制限付きコンテンツが収集されている場合などに有効です。

開始方法： MyKinstaの「ボット対策」画面で「AIクローラーのブロック」をオンにします。Cloudflareの一部の設定とは異なり、AI関連のクローラーやAIの学習用クローラーのみをブロックし、GooglebotやBingbotなどの主要な検索エンジンのクローラーはブロックしません。

注意点：AIクローラーをブロックすると、AIを活用した検索結果や回答の要約に、自社サイトのコンテンツが表示される機会が減る可能性があります。設定を変更した後は、トラフィックの推移を確認してください。

プラグインとテーマを最新の状態に保つ

WordPressのセキュリティ問題のほとんどは、プラグインに起因しています。2025年に報告された11,334件の新たなWordPressの脆弱性のうち、91%がプラグインに存在し、WordPress本体の脆弱性はごくわずかでした。MyKinstaでは既知の脆弱性を毎日検出し、脆弱性対策機能によって修正までの間も既知の脆弱性を悪用した攻撃をブロックします。しかし、脆弱性そのものを解消するには、プラグインやテーマの更新が必要です。修正プログラムが公開されたら、数日以内に適用することをおすすめします。

開始方法：MyKinstaの「プラグインとテーマ」画面で、脆弱性が検出された項目を確認してください。更新作業を自動化したい場合は、Kinsta自動アップデートアドオンをご利用いただけます。指定した時間帯にプラグインとテーマを毎日自動更新し、更新前後に最大5ページのスクリーンショットを比較して、表示に問題がないか確認します。更新によってページの表示が崩れた場合は、自動的に更新をロールバックし、メールで通知します。料金は1ヶ月間の無料トライアル終了後、環境ごとに月額3ドルです。一括操作を使用して、複数のサイトでまとめて有効にすることもできます。

注意点：スライダーや切り替わるバナーなど、表示内容が動的に変化する要素がある場合、更新前後のスクリーンショットに差異が生じ、ロールバックが実行されることがあります。このような要素は、自動アップデートの設定で比較対象から除外してください。

万が一に備えて復旧方法を確認する

サイトに問題が発生した場合、最後のバックアップ以降に加えた変更や追加したデータは、バックアップからの復元時に失われる可能性があります。

標準で利用できる機能：弊社では、プランに応じて14〜30日間保存される毎日の自動バックアップに加え、特定の操作の実行前にもバックアップが自動生成されます。バックアップは、必要なときに正常に復元できることが重要です。月に1回程度、ステージング環境にバックアップを復元し、問題がないことを確認しておくと安心です。

追加のバックアップを検討したいケース： 1日を通して注文が入るECサイトなど、頻繁にデータが更新されるサイトでは、6時間ごと、または1時間ごとのバックアップアドオンの利用をご検討ください。弊社サーバー外にもバックアップを保存したい場合は、外部バックアップアドオンをご利用ください。また、専用サーバーで運用する事業への影響が大きいサイトには、ディザスタリカバリアドオンもご用意しています。各アドオンの料金についてはこちらをご覧ください。万が一サイトがマルウェアに感染した場合は、マルウェアの駆除をご確認ください。

必要に応じてアクセスを制限する

パスワード保護（htpasswd）：ステージング環境や制作中のサイトにパスワードを設定し、第三者がアクセスできないようにします。パスワード保護を有効にすると、サイトの稼働状況の監視も停止するため、本番公開時には解除してください。
IPアドレスのブロック：問題のあるアクセス元のIPアドレスを指定してブロックできます。

日常的なメンテナンス

毎週：プラグインやテーマを更新するか、脆弱性に関する通知を確認します。
毎月：最近作成されたバックアップをステージング環境に復元し、正常に復元できることを確認します。また、ボットによるアクセス状況も確認します。
3ヶ月ごと：使用していないプラグインやテーマを削除し、不要になったボット対策機能の例外ルールも削除します。

詳しいメンテナンスのチェック項目については、日常的なサイトメンテナンスをご覧ください。