ホームページのセキュリティ対策というと、公開したあとに考えるものという印象があるかもしれません。実際には、制作の段階で決めておかないと、後から足すのに手間がかかる項目がいくつもあります。この記事では、ホームページ制作を依頼する方や社内で担当する方に向けて、制作時に決めておきたいセキュリティ対策を整理します。専門的な設定方法ではなく、「何を決めておけばよいか」が分かる内容にしています。
なぜ制作の段階で決めておくのか
セキュリティ対策の多くは、ホームページの土台に関わります。土台が出来上がってから手を入れると、すでに作った部分の修正が必要になります。
たとえば、通信の暗号化を後から導入すると、画像やページ同士のリンクのアドレスを書き換える作業が発生することがあります。問い合わせフォームの仕組みを変える場合も、画面の作り直しが必要になります。
もうひとつの理由は、費用と期間です。制作の見積もりに含まれていない対策は、公開後に別料金・別日程で行うことになります。最初から項目として挙げておけば、見積もりの段階で比較でき、誰が担当するのかも決めやすくなります。
通信の暗号化（SSL）は最初から前提にする
SSLは、閲覧する人とホームページの間の通信を暗号化する仕組みです。導入すると、アドレスが「https」で始まる状態になります。問い合わせフォームに入力された内容などが、途中で第三者に読み取られにくくなります。
現在の主なブラウザ（ホームページを見るためのソフト）は、SSLが導入されていないページに「保護されていない通信」といった表示を出します。閲覧する人に不安を与えるため、問い合わせフォームのあるページだけでなく、すべてのページで導入するのが一般的です。
制作時に確認しておきたいのは、証明書の更新です。SSLには有効期限のある証明書が使われます。自動で更新される設定なのか、手動で更新が必要なのか、手動なら誰が担当するのかを決めておきます。
管理画面のログインを守る
CMS（ホームページの更新を管理する仕組み。WordPressが代表例）を使う場合、管理画面のログインが攻撃の入り口になりやすい部分です。
よく狙われるのは、推測しやすいログインIDや、ほかのサービスと同じパスワードを使っているケースです。管理画面のアドレスが初期設定のままだと、外部から機械的にログインを試される回数も増えます。
制作時に決めておきたいのは、次のような点です。
- パスワードの強さの基準（文字数、使い回しをしないこと）
- 二段階認証（パスワードに加えて、スマートフォンなどに届く確認コードを求める仕組み）を使うか
- 一定回数ログインに失敗したら、しばらく受け付けない設定にするか
- 担当者ごとにアカウントを分けるか
アカウントを担当者ごとに分けておくと、退職や異動のときにその人のアカウントだけを止められます。全員で一つのアカウントを共有していると、パスワードを変えるたびに全員へ知らせ直す必要があります。
バックアップの取り方と戻し方
バックアップは、ホームページのデータを別の場所に複製して保管しておくことです。改ざんや誤操作、サーバーの障害があったときに、元の状態へ戻すために使います。
確認しておきたいのは、自動で取得されるか、どこに保管されるか、何日分残るかの3点です。ホームページと同じサーバーの中にだけ保管していると、サーバーそのものに問題が起きたときにバックアップも一緒に使えなくなります。
もうひとつ大事なのが、戻す手順です。「バックアップは取っている」ことと「実際に戻せる」ことは別の話です。誰が、どの手順で戻すのかまで決めておくと、いざというときに慌てずに済みます。
問い合わせフォームと個人情報
問い合わせフォームは、外部から情報を受け付ける入り口です。迷惑な自動送信（スパム）の対象になりやすく、送られてきた個人情報をどう扱うかという問題もあります。
制作時には、スパム対策の方法、送信された内容がどこに保存されるか、通知メールが誰に届くかを決めておきます。送信内容をホームページ側のデータベースに保存する設定にすると、そこが新たな管理対象になります。保存が不要なら、保存しない設定を選ぶのもひとつの考え方です。
あわせて、個人情報の取り扱いについての方針（プライバシーポリシー）を掲載するかどうかも、このタイミングで決めておきます。
公開後の更新を誰が担うか
ホームページは、公開した時点の対策で安全性が保たれ続けるわけではありません。CMSや追加機能（プラグイン）には、弱点が見つかるたびに修正版が出ます。これを適用しないまま放置すると、修正済みの弱点を狙われることになります。
制作の段階で、公開後の更新作業を誰が、どのくらいの頻度で行うのかを決めておきます。制作を依頼した先が担うのか、社内で行うのかによって、契約の内容も変わります。
打ち合わせの議題に「セキュリティ」を一つ入れておく
ここで挙げた項目は、どれも専門知識がなくても確認できます。必要なのは、制作の打ち合わせで話題にすることです。
ホームページ制作の最初の打ち合わせで、この記事の見出しをそのまま確認項目として使ってみてください。SSL、ログイン、バックアップ、フォーム、公開後の更新。それぞれについて「どうなっていますか」と聞くだけで、後から慌てて対策を足す事態をかなり減らせます。
