Webサイトセキュリティ対策サービス｜診断結果の改善と保守

Security Checker Xの7分野で、何をどう直すか

Security Checker Xが見る7分野の不備を、サーバーの設定、ソフトウェアの更新、公開ファイルの遮断、監視の仕組みで直します。

想定する依頼者は、グレードがCからFだったサイトや、重大度『高』『緊急』の指摘が出たサイトの担当者です。環境は、Apache、nginx、WordPress、Cloudflare、国内の主要なレンタルサーバーに対応します。レンタルサーバーは、コントロールパネルで設定できる範囲です。

まだ診断していない場合は、先に無料のSecurity Checker XにURLを入れてください。診断は、通常30〜90秒で終わります。

各項目の確認方法は、セキュリティチェック項目30選、SSL/TLS証明書のチェック方法、セキュリティヘッダーの設定方法の記事にまとめています。

証明書の自動更新を重く見ているのは、更新の回数が増えるためです。公に信頼されるTLS証明書の最大有効期間は、2026年3月から2029年3月にかけて、398日から47日へ段階的に短くなります(CA/Browser Forumの決議SC-081v3)。

料金(税込)は、3つのプランと診断で決まります

診断結果の改善は、88,000円(税込)からです。WordPressサイトは132,000円(税込)から、月額の保守は22,000円(税込)です。

『から』が付く金額の最終額は、ヒアリングの後、書面のお見積りで確定します。作業の範囲、期間、金額は、そこに書きます。

どのプランから始めるか

診断で出た指摘を直したいなら、スポット対策です。WordPressで、更新とログインの守りまで整えたいなら、WordPress強化パックです。

直した状態を保ちたいなら月額の保守、ログイン後の機能まで調べたいなら脆弱性診断です。どれを選ぶかは、ヒアリングで一緒に決めます。

WordPressサイトでは、更新とログイン保護まで整えます

WordPress強化パックは、スポット対策の全部に、更新、ログイン保護、WAF、バックアップ体制を足したプランです。

更新では、本体、プラグイン、テーマを最新にして、使っていないものを削除します。古いプラグインは、WordPressの脆弱性の入口になりやすいためです。

ログイン保護では、2段階認証と、ログイン試行回数の制限を入れます。REST APIにユーザー名を表示させない設定と、XML-RPCの停止も行います。

WAFは、Cloudflare等で導入します。あわせて、バックアップ体制を整え、管理者アカウントの棚卸しをします。

月額の保守と監視は、直した状態を保つためのプランです

月額22,000円(税込)で、月1回の再診断から月次レポートまでを続けます。WAFの運用込みは月額38,500円(税込)で、1か月単位、最低3か月です。

• 月1回の再診断(Security Checker Xと、手動の確認)
• 本体とプラグインの更新
• 証明書の期限と、サイトの死活の監視
• 本体ファイルの改ざん照合
• バックアップの確認
• 月次レポート(直したことと、残る課題)
• 障害時の一次対応

直した後も、更新やプラグインの追加で、設定は変わります。月1回の再診断は、新しく出た指摘を早く見つけるためのものです。

運用の確認項目は、IPAの安全なウェブサイトの運用管理に向けての20ヶ条が参考になります。ソフトウェアの更新、不要なアカウントの削除、定期的な診断が挙がっています。

作業は7段階で、最初の2つは無料です

流れは全プランで共通です。無料チェックの結果の共有から始まり、再診断と報告書で終わります。

1. 無料チェックの結果を共有する無料ツールのSecurity Checker Xで診断し、結果のURLか画面を共有してください。
2. 無料ヒアリング(オンライン30分)サイトの構成、サーバーの管理者、止められない時間帯を伺います。
3. お見積り作業範囲、期間、金額を書面で出します。内容に合意いただいてから、作業に入ります。
4. 作業前のバックアップと復元の確認取るだけでなく、戻せることまで確かめます。
5. 是正作業本番は、利用者の少ない時間に、1項目ずつ確認しながら進めます。
6. 再診断と報告書指摘ごとに、直したこと、確かめ方、残る課題を書きます。
7. 必要なら月額の保守へ直した状態を保つ場合は、月1回の再診断と監視に移ります。

スポット対策の標準の期間は、着手から1〜2週間です。サイトの規模と、承認の速さで変わります。改ざんや情報漏えいの疑いがある場合は、別枠で動き、最短当日に初動に入ります。

直す範囲と、別見積りになる範囲を分けています

設定、更新、遮断、監視で直るものは、プランの料金の中で直します。プログラムの修正が要るものは、コードと環境を見てから別見積りです。

この料金の中で対応する範囲

• HTTPS転送と、証明書の自動更新
• セキュリティヘッダー6種の設定
• 公開ファイルの遮断と、バージョン表示の抑止
• Cookie属性の設定
• SPFとDMARCの設定
• 作業前のバックアップ、再診断と報告書
• WordPressの更新、ログイン保護、WAFの導入(WordPress強化パック)
• 証明書の期限とサイトの死活の監視、改ざん照合(月額の保守)

別見積り、または約束しないこと

• 入力フォームや会員機能のプログラムに潜む脆弱性の修正(コードと環境を見てから、別見積り)
• ログイン後の機能、入力処理、権限の調査(専門家による脆弱性診断、個別見積り)
• 他社が管理するサーバーの設定変更(権限と承諾を得てから)
• 安全の保証、検索順位の保証、売上の保証(いずれもしません)

入力フォームや会員機能の実装面の対策は、IPAの安全なウェブサイトの作り方が、SQLインジェクションやXSSなど11種類の脆弱性ごとにまとめています。簡易チェックと脆弱性診断の違いは、別の記事で解説しました。

一般的な相場と、見積りで確かめること

各社が公開している料金の目安を整理すると、HTTPS化は2万〜5万円、WordPressの保守は月額1万〜3万円が中心です。表は2026年10月時点の公開情報の整理で、当社の料金との対応も並べました。

スポット対策は、HTTPS化に加えて、ヘッダー、公開ファイル、Cookie、SPFとDMARC、再診断と報告書までを1つにしたものです。HTTPS化だけが目的なら、範囲を絞った見積りのほうが合う場合があります。

Webアプリの診断を外部に頼むときは、経済産業省の『情報セキュリティサービス基準』に適合したサービスの一覧を、IPAが情報セキュリティサービス基準適合サービスリストとして公開しています。審査は各審査登録機関が行い、IPAは関与しません。

見積りで確かめること

• 作業の範囲(どの指摘を、どこまで直すか)が、項目ごとに書かれている
• 再診断と報告書が、金額に含まれている
• 作業前のバックアップと、戻し方が決まっている
• 管理者権限を、自社が持ち続けられる
• 追加費用が出る条件が、書かれている
• 保守の最低期間と、解約の条件が、書かれている

改ざんや情報漏えいが疑われるときは、別枠で動きます

疑いがある時は、通常の流れとは別枠で、最短当日に初動に入ります。初動対応は55,000円(税込)からで、記録、停止、鍵の作り直し、調査を行います。

JPCERT/CCの2016年の注意喚起は、不審な活動を確認したら、Webサーバーを保全するよう求めています。そのうえで、サイトの更新に関わるアカウントとパスワードを変更し、警察かJPCERT/CCに相談する、という内容です。

個人データが漏えいした、またはそのおそれがある場合は、個人情報保護委員会への報告が必要になることがあります。

報告が必要な事態は4つです。要配慮個人情報を含む場合と、財産的被害のおそれがある場合です。ほかに、不正の目的のおそれがある場合と、本人の数が1,000人を超える場合があります。

不正アクセスによる個人データの漏えいは、ガイドラインが『不正の目的』の事例に挙げており、人数が少なくても報告の対象です。期限は、事態を知った時点から、速報が概ね3〜5日以内、確報が30日以内です。不正の目的のおそれがある事態の確報は、60日以内です。

詳しい手順は、個人情報保護委員会の漏えい等の対応にあります。

よくある質問

関連記事