中小企業のホームページセキュリティ対策｜仕組みで守る基本4領域

自社ホームページのセキュリティ対策として何をすればいいか、自信を持って答えられる経営者は多くありません。

「個人や中小企業は狙われない」と思われがちですが、攻撃の多くは相手を選ばない自動プログラムが仕掛けており、会社の規模は無関係です。

この記事では、ホームページを守る基本を「入口・土台・データ・監視」の4領域に整理し、人手に頼らず仕組みで守る方法を解説します。

必要なセキュリティ対策の確認から対応までAIに任せるための依頼文も、記事の最後に用意しました。

動画で見たい方はこちら。

ホームページは1日9,000件以上探索されている

警察庁が出している2025年のサイバー犯罪に関する資料によると、不審なアクセスは1日・1IPアドレスあたり9,085件観測されています。

IPアドレスとは、インターネット上の住所にあたる番号です。「住所1つに1日9,000件超」の探索が機械的に行われ、その大部分は海外からです。

狙われるかどうかに、会社の規模や知名度は関係ありません。botはインターネット全体を手当たり次第に巡回し、侵入できる穴を探しています。

侵入されて、よくある被害は次の3つです。

• ページの改ざん：ホームページの内容を書き換えられる
• フォームの悪用：迷惑なメッセージや不正な送信を繰り返される
• 情報流出：問い合わせなどで預かった個人情報を盗まれる

対策の基本は人手に頼らず「仕組み」で守ること

「怪しいアクセスがないか毎日見張る」
「ツールを手作業で更新」

といった人を頼った対策は、本業が忙しくなった途端に止まります。担当者が代わると、そのまま忘れ去られることも珍しくありません。

基本は、一度設定すれば自動で働き続ける仕組みを作ることです。人は忘れますが、仕組みは忘れません。

この記事では、セキュリティ対策の仕組みを次の4領域に整理して解説します。

• 入口を守る：不正な送信・侵入を自動で止める
• 土台を最新に保つ：ソフトの更新を自動化する
• データを守る：暗号化・バックアップ・秘密情報の分離
• 異常に気づく：監視と自動チェック

どれも無料〜低コストのサービスで実現できます。実際、月147円のコストで動いている本ホームページも、これから紹介する対策をすべて入れています。

入口を守る：不正な送信と侵入を自動で止める

入口とは、フォームや管理画面のように、外部から操作できる場所を指します。botの標的になりやすく、最初に守るべきところです。

フォームのbot対策は無料で設置できる

問い合わせフォームを無防備なまま置くと、迷惑な自動送信の的になります。営業目的のメッセージが機械的に連投されるのが典型です。

対策の定番は、人間とbotを自動で見分ける仕組みの設置です。Cloudflare TurnstileやreCAPTCHAが代表例です。

はたらクラフトでは、無料のTurnstileを問い合わせ・予約・フィードバックの3フォームすべてに設置しています。

連続アクセスは自動で制限する

同じ相手からの短時間の大量アクセスを、自動でブロックする仕組みもあります。フォームの連投や、過剰な負荷への備えです。

はたらクラフトでは「60秒間に5回まで」のようにアプリ側で制限し、さらにホームページを配信しているCloudflareの側でも独立した制限をかけています。

二重にするのは、片方に漏れがあっても、もう片方が止めるためです。

管理画面は公開しないか、厳重に守る

ホームページや業務システムには、たいてい管理画面があります。そのURLが外から分かる状態だと、パスワードを機械的に試し続ける攻撃の標的になります。

管理画面を使う場合、推測されにくい強いパスワードと二段階認証を必ず設定してください。

はたらクラフトはさらに踏み込み、管理画面がありません。予約のキャンセルなどの操作は、事業主のパソコンでだけ動く専用ツールに限定しています。

ログイン画面が存在しなければ、パスワードを奪われる入口もありません。

土台を最新に保つ：ソフトの更新を自動化する

ホームページは、CMS・プラグイン・ライブラリなど、多くのソフトの上に成り立っています。これが土台です。

ソフトの脆弱性は日々新しく見つかるので、定期的に更新をしないと攻撃の入口になります。

おすすめは、更新の自動提案ツールを使うことです。はたらクラフトでは、使っているソフトの更新を、Renovateというツールが毎週自動で提案します。

提案をもとにソフトを更新し、テストが全て通ったら、本番へ適用する運用になっています。

ソフトの自動更新という選択肢もありますが、更新によって既存機能が動かなくなると困るので、「更新の提案 → テスト → 適用」という流れが一般的です。

データを守る：暗号化・バックアップ・秘密情報の分離

通信はHTTPSで暗号化する

HTTPSとは、閲覧者とホームページの間の通信を暗号化する仕組みです。URLがhttpsで始まるのが特徴です。

暗号化されていないと、通信内容が盗み見される恐れがあります。

はたらクラフトのホームページは常時HTTPSで、暗号化なしの通信httpは受け付けない設定です。

バックアップは「戻せること」まで確認する

バックアップは、取ること自体が目的ではありません。トラブルの後に実際に戻せて、初めて意味があります。

確認するのは頻度と復元手順の2点です。毎日取っていても、戻す手順を誰も試したことがなければ安心できません。

はたらクラフトのデータベースは二段構えです。7日以内なら好きな時点へすぐ戻せる仕組みに加え、それ以前のデータも戻せるよう、別の場所にも90日間保管するバックアップをとっています。

秘密情報は分けて保管し、個人情報は残しすぎない

APIキー（外部サービスと接続するための鍵となる文字列）やパスワードを、プログラムや共有ファイルに直書きするのは危険です。コピーや共有のたびに、漏れる機会が増えていきます。

はたらクラフトでは、秘密情報を専用の保管場所に登録し、プログラム側は保管場所を参照するだけです。コードに秘密情報が紛れていないかの自動スキャンも、保存のたびに実行されます。

フォームで預かった個人情報は、残しすぎないことも大切です。はたらクラフトでは、添付ファイルの原本を30日で自動削除しています。

異常に気づく：監視と自動チェック

どれだけ備えても、トラブルの可能性はゼロになりません。本当に怖いのは、ホームページが止まったり改ざんされたりしたまま、誰も気づかずに営業を続けることです。

まず用意したいのは外形監視です。外部からホームページへ定期的にアクセスし、正常に表示されるかを確かめる仕組みで、UptimeRobotなどが無料で使えます。

はたらクラフトでは30分間隔の外形監視を4本動かしています。トップページ・予約ページ・システムの疎通に加え、未対応のエラーが残っていないかも見張る構成です。

また、週次の自動点検やバックアップが失敗したときは、対応タスクが自動で起票されます。異常を見つけるだけでなく、対応漏れを防ぐところまで仕組みにしています。

AIにセキュリティ対策をさせる

ここまでの4領域の対策を、1つずつ自力で確認して進めるのは大変です。Claude CodeやCodexなどのAIエージェントがあれば、確認から対策までまとめて任せられます。

AIに次のように依頼してください。

このホームページのセキュリティ対策を優先度が高い順にドキュメントにまとめて

AIが現状を調べ、必要なセキュリティ対策を優先度が高い順に並べたドキュメントを作ってくれます。

完成したドキュメントを保存し、上から1つずつAIに対応させていけばOKです。

セキュリティ対策は人ではなく仕組みに任せる

この記事の要点は次のとおりです。

• ホームページはbotに無差別に探索されており、会社の規模は関係ない
• 対策は毎日の注意ではなく、自動で働き続ける仕組みに任せるのが基本
• 仕組みは「入口・土台・データ・監視」の4領域で考える
• 無料〜低コストのサービスの組み合わせで、小さな会社でも実現できる
• AIに優先度順のセキュリティ対策ドキュメントを作らせ、順番に任せる

まずは先ほどの依頼文をAIに送り、自社ホームページのセキュリティ対策ドキュメントを作らせてみてください。

ながら聞きでAI活用・業務改善に役立つポッドキャストをSpotifyでも配信中です。

現場のAI・業務改善ラジオSpotifyopen.spotify.com