セキュリティに強いレンタルサーバーは、WAFがあるだけでは判断できません。攻撃を防ぐ機能、異常を見つける機能、正常な状態へ戻す機能、管理アカウントを守る機能を組み合わせて比較する必要があります。
個人のWordPressなら、無料SSL、WAF、二段階認証、Webとデータベースのバックアップが基準です。法人や問い合わせを扱うサイトでは、改ざん・マルウェア検知、権限分離、通知先、復旧支援まで確認します。
この記事では、初心者が選びやすい一般向け3サービスと、追加の対策が必要な法人向け3サービスを同じ軸で比較します。機能数だけの順位は付けず、使うプランと対象範囲を重視します。
セキュリティに強いサーバーの結論
セキュリティ機能は、防御、検知、復旧、アカウント保護の4つに分けると比較しやすくなります。4つのうち1つだけ強くても、事故の入口や復旧の穴が残ります。
| 段階 | 主な機能 | 確認すること |
|---|---|---|
| 防御 | SSL、WAF、アクセス制限 | 標準か有料か、初期状態、設定単位 |
| 検知 | 改ざん診断、マルウェア診断、ログ | 診断範囲、頻度、通知先、駆除の有無 |
| 復旧 | 自動バックアップ、世代管理、復元 | 対象、日数、保存先、復元単位、費用 |
| アカウント保護 | 二段階認証、パスキー、権限分離 | 適用範囲、復旧コード、退職時の停止 |
一般的なWordPressなら、エックスサーバー、ConoHa WING、さくらのレンタルサーバを比較の起点にできます。3社とも無料SSL、WAF、管理画面の追加認証、バックアップ機能を確認できますが、改ざん検知とバックアップ方式が異なります。
エックスサーバーは、WAF、無料SSL、二段階認証、Web・メール・MySQLの14日バックアップをまとめやすい構成です。Web改ざん検知は通常のスタンダードではなくビジネスプランの追加機能なので、一般プランの標準機能と混同しないでください。
ConoHa WINGは、WAF、無料SSL、二段階認証とパスキー、Web・メール・データベースの14日バックアップを利用できます。ネットde診断は脆弱性の有無を確認する機能であり、感染ファイルを常時監視して駆除する機能とは別です。
さくらのレンタルサーバは、WAF、無料SSL、TOTP方式の2要素認証、最大8スナップショットのバックアップ＆ステージングを利用できます。Web改ざん検知は有料オプションで、WAF自体にはウイルス検知機能がありません。
法人向けでは、XServerビジネスの毎日改ざん検知、KAGOYAの専用環境とWAF・IPS、CPIのWAFとSmartReleaseが候補です。ただし、法人サーバーの料金やSLAを詳しく比べる役割は、法人向けレンタルサーバー比較に分けます。
レンタルサーバーのセキュリティ機能を理解する
比較表の丸印だけでは、機能の役割と限界が分かりません。名前が似ていても、通信を暗号化する機能、攻撃を遮断する機能、異常を検知する機能は別です。
WAFはWebへの攻撃を検知・遮断する
WAFは、Web Application Firewallの略です。HTTPやHTTPSの内容を確認し、SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーションの脆弱性を狙う通信を検知・遮断します。
通常のファイアウォールは、IPアドレスやポートなどネットワーク通信を制御します。WAFはWebリクエストの内容を見る点が違います。IDSは不審な動作を検知し、IPSは検知した通信を遮断する仕組みです。
WAFがあっても、WordPress本体やプラグインの脆弱性が修正されるわけではありません。盗まれた管理者IDで正規ログインされた操作や、漏えいしたFTP情報による更新をすべて防ぐものでもありません。
比較するときは、標準か有料か、初期状態がONか、ドメインごとに設定できるか、ログを見られるか、誤検知を除外できるかを確認します。フォームやAPIが遮断されたときに、原因を確認せずWAFを切ったままにしない運用も必要です。
SSLは通信を暗号化する
SSL・TLSは、ブラウザとサーバー間の通信を暗号化します。ログイン情報やフォーム入力を盗み見られにくくし、通信中の改ざんを防ぐために常時SSL化が必要です。
無料のドメイン認証SSLでも通信は暗号化できます。有料の企業認証SSLやEV SSLには組織確認などの違いがありますが、料金が高いだけでWordPressの脆弱性やマルウェアを防ぐわけではありません。
無料か有料かに加え、自動更新、更新失敗の通知、移転時の再設定を確認します。SSLが切れるとサイトへ警告が表示されるため、証明書更新の通知先も退職者のメールに残さないでください。
マルウェア検知と改ざん検知は範囲を見る
改ざん検知は、Webページやファイルの変化、不審なコード、フィッシングURLなどを見つけて通知します。マルウェア診断は、悪意あるプログラムや感染の兆候を調べます。
サービスによって、公開ページを外部から巡回する方式と、サーバー内部のファイルを検査する方式があります。診断開始URLから30ページだけを調べる機能と、全ファイルを検査する機能を同じ丸印にしないでください。
検知頻度、対象URL数、非公開ページの扱い、通知先、レポート、駆除・隔離の有無を確認します。「検知」と書かれていても、自動で感染原因を取り除き、正常な状態へ戻すとは限りません。
ConoHa WINGのネットde診断は既知の脆弱性の確認を支援します。さくらのWeb改ざん検知は有料で、改ざんを検知してメール通知します。XServerビジネスのWeb改ざん検知は、登録URLから毎日巡回し、改ざん、マルウェア、フィッシングURLを通知します。
二段階認証は契約とサーバーの両方へ設定する
管理者IDとパスワードが漏れると、WAFを通らず正規の管理画面から設定を変更される可能性があります。契約アカウント、サーバーパネル、CMS、メール管理の各入口へ二段階認証を設定してください。
サービスによって、認証アプリのワンタイムパスワード、パスキー、不審ログイン時のメール認証などを利用できます。適用される画面と、子ユーザーにも設定できるかを確認します。
復旧コードは、認証端末と同じ端末だけに保存しないでください。会社では保管場所と閲覧権限を決め、機種変更、退職、紛失時に管理を継続できるようにします。
バックアップは攻撃を防ぐ機能ではない
バックアップは、攻撃や誤操作の後に正常な状態へ戻すための機能です。Webファイルだけでなく、WordPressのデータベース、メール、DNS設定、外部サービスの認証情報を棚卸しします。
日数が長いだけでも十分ではありません。侵害に気づくまでの期間が保持日数より長ければ、正常な世代が残らない可能性があります。更新頻度が高いサイトでは、日次バックアップから戻すと失うデータも増えます。
対象、保持日数、世代数、容量、別拠点保存、復元費用、復元単位、上書き範囲を比べます。サーバー会社のバックアップに加え、重要更新前と定期日に外部保存を行い、復元テストをしてください。
保存先や復元方式を詳しく確認したい場合は、レンタルサーバーのバックアップの記事で、取得と復元の違いを確認できます。
初心者向けレンタルサーバー3社の比較
ここでは、一般的なWordPressや会社案内サイトで検討しやすい代表プランを比較します。機能は2026年7月23日時点の公式仕様を確認しています。
| サービス・代表プラン | WAF・SSL | アカウント保護 | 検知・診断 | バックアップ |
|---|---|---|---|---|
| エックスサーバー・スタンダード | WAF、無料独自SSL | 二段階認証、不審ログイン認証 | 改ざん検知はビジネスプラン | Web・メール・MySQLを14日 |
| ConoHa WING・ベーシック | WAF、無料独自SSL | 二段階認証、パスキー | ネットde診断 | Web・メール・DBを14日 |
| さくら・スタンダード | WAF、無料SSL | 2要素認証 | 改ざん検知は有料 | 最大8スナップショット |
表は侵入されないことを保証する順位ではありません。同じWAFでもログと除外設定が異なり、バックアップも日次14日と利用者が作るスナップショットでは運用が変わります。
エックスサーバーは標準機能をまとめやすい
エックスサーバーのスタンダードでは、無料独自SSL、WAF、XServerアカウントとサーバーパネルの二段階認証を利用できます。不審な端末やIPからのログイン時に認証コードを求める機能もありますが、二段階認証が有効な場合は動作が分かれます。
WAFは、XSS、SQLインジェクション、ファイル不正アクセスなどの対策項目を設定できます。公式マニュアルも、不正アクセスを100％排除する保証ではなく、アプリを最新版へ更新する必要があると案内しています。
自動バックアップは、Web・メールのサーバー領域とMySQLを過去14日分保持します。一部の旧サーバーでは保持期間が異なる場合があるため、実際のサーバーパネルで選べる復元日を確認してください。
復元では、バックアップに存在しない新しいファイルが削除される方式があります。復元前に現状を別保存し、戻す対象日と範囲を確認します。
Web改ざん検知は、一般のスタンダードではなくビジネスプラン向け機能です。一般プランで改ざん検知を必須にするなら、外部サービスまたは上位の運用方法を含めて検討します。
ConoHa WINGは診断と認証の選択肢がある
ConoHa WINGは、無料独自SSL、WAF、ディレクトリ・IPアクセス制限、WordPress向けセキュリティ設定を利用できます。WAFは管理画面でONにし、遮断ログの確認と除外設定が可能です。
ConoHaアカウントでは、認証アプリによる二段階認証とパスキーを利用できます。ログイン通知も設定できるため、通知先を日常的に確認する組織メールへ登録します。
自動バックアップは全プラン標準で、Webサイト、メール、データベースを1日1回、過去14日分保持します。管理画面からWeb、メール、データベース単位で復元でき、メールはアドレス単位も選択できます。
ネットde診断は、無料プランで月1回の手動診断、定期診断プランで毎月の自動診断を利用できます。2026年7月23日の公式案内では、定期診断は月額330円、追加診断は1回220円です。
これは脆弱性診断であり、感染したすべてのファイルを自動駆除するサービスではありません。結果を受け取った後、誰が更新や設定変更を行うかを決めておきます。
さくらはスナップショット運用を理解して選ぶ
さくらのレンタルサーバのスタンダードでは、無料SSL、WAF、コントロールパネルの2要素認証を利用できます。WAFは対象ドメインで設定し、検出ログを確認できます。
公式マニュアルでは、WAFはHTTPとHTTPSの攻撃を遮断しますが、ウイルスを検知しないと明記されています。FTP認証情報の漏えいによる改ざんなども、WAFだけでは防げません。
バックアップ＆ステージングは無料で、最大8スナップショットを作成できます。レンタルサーバーでは1バックアップあたり60GB、データベースは1GBです。www直下のWebコンテンツが対象で、WordPress以外のデータベースは扱いが異なります。
日次14世代が自動で用意される方式とは違い、利用開始とスケジュール設定が必要です。ステージング環境は1つで、公開前の更新確認にも使えます。
Web改ざん検知は有料オプションです。毎日監視して改ざんを検知するとメールで通知します。標準WAFの丸印と、有料の検知サービスを別に評価してください。
法人向けサーバーで追加するセキュリティ
法人向けでは、一般向けの機能に加え、改ざん検知、権限分離、復旧支援、外部バックアップを確認します。料金、SLA、請求、通常版との違いは法人向けレンタルサーバー比較で詳しく扱い、本章はセキュリティの対象範囲に絞ります。
| サービス・代表プラン | 防御 | 検知・アカウント | 復旧 | 注意点 |
|---|---|---|---|---|
| XServerビジネス 共有スタンダード | WAF、無料SSL | 毎日改ざん検知、管理者ユーザー、二段階認証 | Web・メール・MySQLを14日 | 検知と原因除去は別 |
| KAGOYA ライト | 無料SSL、WAF・IPSはオプション | 専用Web環境、緊急窓口 | Web・DBを最大10GB | WAF・IPSを総額へ加える |
| CPI ビジネス スタンダード | WAF、CPI SSL | Web・メール分離、改ざん検知は有料 | SmartReleaseでWeb・DBを30世代 | メールはSmartRelease対象外 |
XServerビジネスは検知と権限を標準で組み込みやすい
XServerビジネスは、WAF、Web改ざん検知、管理者ユーザー、自動バックアップを組み合わせられます。Web改ざん検知は、登録した開始URLからリンクをたどって1日1回、30ページを診断します。
検知対象はWebページの改ざん、マルウェア、フィッシングURLです。非公開ページや巡回対象外のページもあるため、サイト内の全ファイルを無条件に検査する機能ではありません。
管理者ユーザーは、特定ドメインだけを扱うサイト管理者やメール管理者として権限を設定できます。制作会社と社内担当者が同じ契約者IDを共有する状態を減らせます。
バックアップはWeb、メール、MySQLを過去14日分保持し、遠隔地にも保存します。設定や移転の代行もありますが、感染原因の特定やアプリ修正まで含むかは作業範囲を確認してください。
KAGOYAは専用環境と有料防御を要件で組む
KAGOYAの現行レンタルサーバーは、ライトでもWeb側が仮想専用環境です。無料SSLを利用でき、WAFとIPSはオプションとして追加できます。
WAFはWebアプリの攻撃を検知・防御し、IPSはネットワークの不正侵入や攻撃パターンを検知して遮断します。両方を選ぶ場合も、WordPress更新や管理者保護が不要になるわけではありません。
バックアップはファイルとデータベースを最大10GBまで保存し、管理画面から復元できます。保存日数ではなく容量とスケジュールで管理するため、取得頻度と必要世代を自社で設計します。
契約者向けの緊急窓口がありますが、受付と復旧代行の範囲は分けて確認します。KAGOYAには実務利用経験がありますが、現在のオプションとサービス体系は公式仕様を基準にしています。
CPIは公開・復元フローと対象外データを確認する
CPIのビジネス スタンダードはWAFとCPI SSLを標準で利用できます。SmartReleaseはテストサイト、公開サイト、バックアップを管理し、WebとMySQLを通常30世代まで保持します。
バックアップ処理は、ファイル総容量が10GB未満などの条件があります。リストアすると、バックアップ取得後に作成したファイルが削除されるため、現状保存と戻す日時の確認が必要です。
SmartReleaseはメールを対象にしません。メールの保存が必要なら、外部バックアップやメール側の保全方法を別に用意します。
Web改ざん検知、マルウェア診断、外部バックアップには有料オプションがあります。標準WAFと有料診断を同じ「セキュリティ対応」にまとめず、必要な診断範囲を見積もってください。
契約前に公式仕様を確認する方法
比較記事の丸印は入口にすぎません。契約前は、公式機能表、マニュアル、FAQで、対象プラン、初期状態、対象データ、費用を確認します。
対象プランと標準・有料をそろえる
同じサービスでも、一般プラン、ビジネスプラン、専用プランで機能が異なります。エックスサーバーのWeb改ざん検知はビジネスプラン、さくらのWeb改ざん検知は有料オプションです。
表に「利用可能」とあっても、料金内に含まれるとは限りません。WAF、診断、外部バックアップ、復旧支援を必要な構成にそろえ、12か月総額で比べます。
初期状態と設定単位を確認する
WAFが初期OFFなら、契約後に有効化が必要です。ドメイン単位で設定する機能は、サイト追加時にも設定が必要になることがあります。
二段階認証も、契約アカウントだけでなくサーバーパネルや子ユーザーに適用できるかを確認します。機能があるだけで、すべての入口が自動的に守られるとは考えないでください。
通知先と復旧担当を決める
改ざん、ログイン、容量、証明書、障害の通知は、読まれて初めて役立ちます。退職者の個人メールや、障害中の同じドメインだけを通知先にしないようにします。
通知を受けた人が、公開停止、パスワード変更、サポート連絡、復元のどこまで実行できるかも確認します。本人確認に契約者情報が必要なら、夜間・休日に参照できる管理台帳が必要です。
公開されていない項目は推測しない
DDoS防御の規模、内部監視ルール、検知シグネチャなどは公開されないことがあります。記載がないことを「対策なし」とも「万全」とも判断しません。
必須要件なら、問い合わせて回答を提案書や契約書へ残します。回答を得られない項目は不明としてリスクを評価し、外部サービスで補うか候補から外します。
契約後に行う運用対策
レンタルサーバー事業者は、設備、OS、共用基盤などを管理します。利用者は、WordPress、テーマ、プラグイン、管理者、公開ファイル、バックアップの運用を担当します。
WordPressとPHPを更新する
WordPress本体、テーマ、プラグイン、PHPをサポート中の版へ更新します。使わないプラグインやテーマは無効化だけでなく削除し、配布元が不明なファイルを入れません。
更新前に復元点を作り、可能ならテスト環境で表示とフォームを確認します。本記事では一般的な設定手順を深掘りせず、サーバー選びに必要な責任分界に留めます。
管理者アカウントを棚卸しする
日常の記事更新には、必要以上に強い管理者権限を使わないようにします。制作会社、退職者、短期担当者のIDを共有のまま残さず、作業終了日に停止します。
サーバー、CMS、メール、DNSで同じパスワードを使わないでください。パスワード管理ツール、二段階認証、復旧コードの保管を組み合わせます。
外部バックアップと復元テストを行う
サーバー標準のバックアップに加え、別のアカウントや保存先へコピーします。同じ契約アカウントが侵害されたときに、攻撃者がすべて削除できない構成が理想です。
四半期や半期に、テスト環境へWebとデータベースを復元します。ログイン、表示、フォーム、メール通知、外部連携を確認し、所要時間と失敗原因を記録してください。
月次・四半期・年次で点検する
月次は更新、バックアップ、管理者、通知先を確認します。四半期は復元テスト、不要アカウント、WAFログ、外部連携を見直します。
年次は契約名義、委託先、保管データ、サポート、代替サービスを確認します。担当者変更、サイト追加、移転、大きな更新の後は、定期日を待たずに点検してください。
セキュリティ事故が起きたときの初動
事故が疑われるときは、慌てて最新バックアップを上書きしないことが重要です。調査に必要なログや、侵害前の復元点を失う可能性があります。
- 被害が広がる場合は公開や送信を制限する
- サーバー会社の障害情報と通知を確認する
- Web、DB、メール、管理者、利用者への影響を記録する
- 安全な端末から契約、DNS、CMS、FTP、メールの認証情報を変更する
- ログと改ざんファイルを保全し、原因を調べる
- 原因を除去してから正常なバックアップを復元する
- 表示、フォーム、メール、認証、外部連携を確認する
- 必要に応じて利用者、取引先、専門家、関係機関へ連絡する
サーバー会社へ連絡する前に、契約ドメイン、サーバー名、発生時刻、エラー、直前の変更をまとめます。個人情報や業務への影響がある場合は、自社だけで判断せず専門家へ相談してください。
復旧後は、侵入経路、影響範囲、検知までの時間、復旧までの時間を振り返ります。WAFを追加するだけで終わらず、更新、権限、通知、外部バックアップを改善します。
用途別に必要なセキュリティ水準
必要な水準は、個人か法人かだけでは決まりません。扱うデータ、停止の影響、復旧担当から選びます。
| 用途 | 最低限確認する対策 | 追加したい対策 |
|---|---|---|
| 個人ブログ | SSL、WAF、更新、二段階認証、Web・DBバックアップ | 診断、外部保存 |
| 店舗・士業 | 上記とフォーム・メール保全 | 改ざん検知、複数通知先 |
| 法人サイト | 上記と権限台帳、復旧手順 | 法人向け支援、外部バックアップ |
| EC・会員 | 上記とDB復旧目標、個人情報最小化 | 脆弱性診断、監視、専門保守 |
無料サーバーでもSSLやWAFがある場合はあります。しかし、バックアップ、サポート、継続条件が本番要件に合うかを確認してください。
VPSは自由度が高い一方、OSやミドルウェアの更新責任が利用者側に増えます。専門知識がない初心者は、必要なセキュリティを事業者が管理する共用レンタルサーバーから検討するほうが安全です。
よくある質問
WAFがあればWordPressを更新しなくても安全ですか
安全ではありません。WAFはWebへの攻撃を検知・遮断しますが、WordPressやプラグインの脆弱性を修正する機能ではありません。
本体、テーマ、プラグイン、PHPを更新し、不要なものを削除します。WAFは更新と組み合わせて使ってください。
無料SSLと有料SSLでセキュリティは大きく違いますか
無料のドメイン認証SSLでも通信を暗号化できます。有料SSLには組織確認やサイトシールなどの違いがあります。
有料にしてもWAFやマルウェア対策の代わりにはなりません。暗号化、攻撃防御、検知、復旧を別々に確認します。
バックアップは何日分あれば十分ですか
更新頻度と侵害に気づくまでの時間によります。毎日更新し、改ざんの発見に2週間かかるサイトでは14日分でも足りない可能性があります。
日次バックアップに加え、重要更新前と月次の外部保存を組み合わせます。日数だけでなく、対象と復元テストも確認してください。
改ざん検知とマルウェア駆除は同じですか
同じではありません。改ざん検知は異常を見つけて通知する機能で、原因除去や感染ファイルの駆除まで含まない場合があります。
検知後に、公開停止、調査、認証情報変更、原因除去、復元を誰が行うか決めます。サービスの作業範囲も公式仕様で確認してください。
二段階認証を設定すれば共有IDでも問題ありませんか
個別IDを使うのが基本です。共有IDでは、誰が操作したか分かりにくく、退職者だけを停止することもできません。
二段階認証と個別ID、最小権限を組み合わせます。復旧コードと認証端末も組織で管理してください。
セキュリティに強いサーバーなら事故対応計画は不要ですか
不要にはなりません。未知の脆弱性、認証情報漏えい、誤操作、外部サービス障害はどの環境でも起こり得ます。
通知、公開停止、ログ保全、原因調査、復元、利用者連絡の順序を決め、定期的に復元を試してください。
まとめ
セキュリティに強いレンタルサーバーは、WAFやSSLの有無だけで決まりません。防御、改ざん・マルウェア検知、アカウント保護、バックアップ・復元、事故時サポートを同じプランで確認することが重要です。
初心者は無料SSL、WAF、二段階認証、Webとデータベースのバックアップを基準にし、WordPress更新と外部保存を自分で行います。法人は権限分離、通知先、改ざん検知、復旧担当を追加し、公式機能表の対象範囲を確認して選びましょう。
