AIやホームページ作成サービスを使い、自分で事業のサイトを公開できるようになりました。制作費を抑えられ、文章や写真も自分で変更できる。その一方で、「このまま公開していて安全なのか」と聞かれると、自信を持って答えられない方もいるのではないでしょうか。
ホームページには、公開した後も保守管理が必要です。掲載内容の更新に加え、使っているソフトウェアの脆弱性への対応、管理アカウントの保護、問い合わせ情報の扱い、障害への備えも含まれます。
必要な作業はサイトの仕組みによって変わります。AIで作った場合も、公開環境や外部サービスまで把握し、誰が管理するかを決めておきましょう。
ホームページは公開後も安全性を確認する必要がある
公開時には問題がなくても、使っている仕組みに後から脆弱性が見つかることがあります。脆弱性とは、不正な操作などに悪用されるおそれのある、ソフトウェアや設定上の弱点のことです。公開後にも、影響の確認と対策が必要になります。
PHPの脆弱性により、対策のためサービスを一時停止した事例
2026年10月21日、PHPの開発元は重大な脆弱性への修正を公表しました。翌22日には、IPAとJPCERT/CCも注意喚起を公開しています。PHPは、WordPressなどをサーバー上で動かすためにも使われるプログラミング言語です。
同月22日、TKCは、一部サービスを21日午後11時からメンテナンスのため一時休止したと発表しました。理由は修正プログラムの適用などへの対応で、発表時点では、脆弱性を利用した攻撃を確認していないとしています。TKCの公式発表
この一時休止を、更新を怠っていた結果や、情報漏えいが起きた証拠と受け取ることはできません。新たな問題が公表されたときに影響を調べ、必要なら止めて対策することも、管理の一部です。
正常に表示されていても、安全性までは判断できない
普段どおりにページが開き、フォームも送信できる。見た目の確認だけでは、未修正の脆弱性や不適切なアクセス権限がないとは判断できません。
「安全か分からない」という状態も、すでに被害があることを意味するわけではありません。まずは利用しているサービスやソフトウェア、現在の管理担当を確かめます。影響や対策が分からなければ、契約先や保守担当へ確認できる状態にしておきましょう。
管理せずに放置すると、顧客への被害や相談機会の損失につながる
ホームページで問題が起きたとき、影響を受けるのは運営者だけとは限りません。閲覧した人や問い合わせた人にも関わるため、何を守る必要があるかを考えます。
ページの改ざんや、不審なサイトへの誘導
脆弱性や盗まれた管理情報を悪用されると、文章を書き換えられたり、別のサイトへ誘導する仕組みを入れられたりするおそれがあります。会社案内しか載せていなくても、訪問者に不審な案内を見せてしまう可能性は残ります。
自社で管理していない古いページや、使わなくなったWordPressが同じサーバーに残っていないかも確認してください。「今のトップページだけ見ればよい」と考えず、公開している範囲を把握する必要があります。
問い合わせ情報や管理アカウントの漏えい
問い合わせフォームには、氏名や連絡先、相談内容などが入力されます。その情報がサイト内のデータベースに保存されるのか、外部のフォームサービスに残るのか、メールに届くのかは、実装によって異なります。
例えば、士業への相談なら、事業の状況や家族に関する話が書かれる場合もあるでしょう。どこに保存され、誰が閲覧できるかを確かめ、初回の問い合わせに必要な項目へ絞ります。サイトの保守とあわせて、受信メールや外部サービスのアカウントも管理の対象です。
サイトやフォームの停止、復旧にかかる負担
表示できない状態や、問い合わせメールが届かない状態が続けば、相談の機会を逃すおそれがあります。問題に気づくのが遅れ、使えるバックアップもなければ、調査や再構築の負担が増えることもあります。
止まったときに何を確認し、どこへ連絡するかを決めておくと、状況を伝えやすくなります。サイトを見られることと、問い合わせを受け取れることの両方を確認してください。
AIで作ったサイトも、使っている仕組みによって管理する範囲が変わる
「AIで作った」という情報だけでは、必要な保守作業は決まりません。AIが生成したページを何で動かし、どこで公開し、何と連携しているかを確認します。
WordPressは本体・テーマ・プラグインとPHPの管理を確認する
WordPressでは、本体だけでなく、見た目を作るテーマや、機能を追加するプラグインも確認します。サーバー側にはPHPなどの実行環境があり、それぞれに更新やサポート状況の確認が必要です。
WordPressの更新とPHPの更新は別の作業です。レンタルサーバー会社が担当する範囲と、契約者や制作・保守担当が行う範囲を確かめてください。自動更新が有効でも、すべての構成要素や、不具合からの復旧まで任せられるとは限りません。
CMS選びは、WordPressとEmDashを社内の運用体制で比較するも参考にしてください。
HTML中心のサイトも、公開先・外部フォーム・アカウントを管理する
HTMLやCSSを中心にした静的なサイトでは、サイト自体でPHPを実行しない構成もあります。その場合、PHPを利用するWordPressと同じ更新作業が必ず発生するわけではありません。
一方、公開に使うアカウント、ドメイン、問い合わせフォーム、外部のスクリプトなどは確認対象になります。AIが生成したコードに、非公開にすべき認証情報を含めて公開していないかも確かめます。会員機能やデータ保存を追加している場合は、その処理を動かす環境まで把握してください。
作成サービスに任せられる部分と、自分で管理する部分を確認する
ホームページ作成サービスでは、運営会社が基盤の管理やセキュリティ対策を担う部分があります。ただし、利用者のログイン情報や共有権限、公開する内容まで、すべて自動的に適切になるわけではありません。
例えばWixは基盤側のセキュリティ対策を案内するとともに、利用者向けにアカウントの2段階認証も用意しています。自分が使うサービスでも、任せられる範囲と設定が必要な範囲を、公式の案内で確認しましょう。
WordPressは本体・テーマ・プラグインとPHPの管理を確認する
WordPressでは、本体だけでなく、見た目を作るテーマや、機能を追加するプラグインも確認します。サーバー側にはPHPなどの実行環境があり、それぞれに更新やサポート状況の確認が必要です。
WordPressの更新とPHPの更新は別の作業です。レンタルサーバー会社が担当する範囲と、契約者や制作・保守担当が行う範囲を確かめてください。自動更新が有効でも、すべての構成要素や、不具合からの復旧まで任せられるとは限りません。
HTML中心のサイトも、公開先・外部フォーム・アカウントを管理する
HTMLやCSSを中心にした静的なサイトでは、サイト自体でPHPを実行しない構成もあります。その場合、PHPを利用するWordPressと同じ更新作業が必ず発生するわけではありません。
一方、公開に使うアカウント、ドメイン、問い合わせフォーム、外部のスクリプトなどは確認対象になります。AIが生成したコードに、非公開にすべき認証情報を含めて公開していないかも確かめます。会員機能やデータ保存を追加している場合は、その処理を動かす環境まで把握してください。
作成サービスに任せられる部分と、自分で管理する部分を確認する
ホームページ作成サービスでは、運営会社が基盤の管理やセキュリティ対策を担う部分があります。ただし、利用者のログイン情報や共有権限、公開する内容まで、すべて自動的に適切になるわけではありません。
例えばWixは基盤側のセキュリティ対策を案内するとともに、利用者向けにアカウントの2段階認証も用意しています。自分が使うサービスでも、任せられる範囲と設定が必要な範囲を、公式の案内で確認しましょう。
公開後は更新・アクセス管理・バックアップを継続する
保守管理の内容は、日常的な確認と、新たな脆弱性や障害が見つかった際の対応に分けて整理できます。重大な問題への対策を、次の定期点検まで待ってよいとは限りません。
修正情報とサポート期限を確認し、必要な更新を行う
使っているソフトウェアの修正情報とサポート状況を確認します。問題が公表されたら、自分のサイトが影響を受けるか、修正や移行が必要かを担当者と判断してください。
更新によって、使っている機能が動かなくなる場合もあります。バックアップや検証環境を準備し、更新後には表示・フォームなどを確認します。ただし、互換性が心配だからと未対応のまま放置せず、緊急度に応じた更新方法や、一時的なアクセス制限も相談しましょう。
管理アカウントの認証と、利用しない権限を見直す
パスワードを使い回さず、利用できる場合は多要素認証を設定します。退職者や契約の終わった外部担当者に、不要な管理権限が残っていないかも確認してください。
これはWordPressの管理画面だけの話ではありません。サーバー、ドメイン、サイト作成サービス、通知を受け取るメールなど、管理に関わるアカウントを一覧にします。本人確認や復旧に使う連絡先も、現在使えるものにしておきます。
バックアップを保存し、復旧方法まで確認する
バックアップは「取得している」だけでなく、何が保存され、どの時点へ戻せるかまで確認します。WordPressでは、ファイルとデータベースの両方が対象です。
サイトが壊れた場合に備え、保存期間や保管先、復旧の担当と手順を把握しましょう。不正アクセス後の復元では、戻すデータに問題がないか、原因への対策が済んだかの確認も必要です。バックアップは復旧への備えであり、脆弱性への対策を省略できる仕組みではありません。
フォームの送信先・保存先と、異常時の連絡先を把握する
テスト送信では、受付画面だけでなく、通知メールや自動返信の到着まで確認します。相談内容の保存先、閲覧できる担当者、不要になった情報の扱いも決めておきましょう。
見覚えのない管理者やファイル、不審な転送、身に覚えのない送信などに気づいた場合は、発見時刻と状況を記録し、サーバー会社や保守担当へ連絡します。侵害が疑われるときは、証拠となるログやデータを自己判断で削除せず、アクセス制限を含む初動と復旧方法を相談してください。
自分で管理できるかは、対応できる作業で判断する
自作を続けるか、管理を依頼するかは、知識の量だけで決めなくても構いません。必要な作業を継続し、問題が起きたときに対応できるかを確かめます。
サイトの仕組みと管理者、契約先を説明できるか
WordPressなのか、作成サービスなのか、AIが生成したファイルを公開しているのか。まずは自分のサイトの構成を説明できる状態にします。契約先、アカウントの管理者、問い合わせの保存先も確認してください。
分からない項目が見つかっても、すぐに危険と判定する必要はありません。制作時の資料や契約内容を調べ、担当者へ確認して、空欄を埋めていきます。
更新の必要性を判断し、不具合時に復旧できるか
更新通知を見て対応の優先順位を判断できるか、更新後の不具合を確認できるか、復旧の方法が分かるかを考えます。操作の手順が分かっても、必要な時間を確保できなければ、運用として続かなくなることがあります。
私たちは、制作後の更新やアクセス分析、改善も支援しています。その際にも、何を行うかとあわせて、誰が担当して続けるかを整理しています。自分のサイトでも、日常の業務の中で管理する時間を取れるか確かめましょう。
分からないことを確認できる相手がいるか
すべてを自分で判断する必要はありません。ただ、表示の異常や重要な通知に気づいた際、確認できる相手は決めておきたいところです。
公開先のサポートが答えられる範囲と、個別のコードや設定を調べる担当者の範囲は異なります。自分で担う作業、契約先に任せる作業、別途依頼が必要な作業を整理してください。
保守を依頼するときは、料金と対応範囲をセットで確認する
「保守管理」という名前でも、含まれる作業は同じではありません。更新代行、監視、障害復旧、脆弱性診断、事故原因の調査を、まとめて同じサービスと考えず、個別に確かめます。
更新・監視・復旧のどこまで含まれるか確認する
私たちの保守プランを例にすると、月額料金と対応範囲には次の違いがあります。2026年10月26日に公開中の料金案内で確認した、税込価格です。
| 確認項目 | ライト | スタンダード |
|---|---|---|
| 月額料金 | 5,500円 | 11,000円 |
| バックアップ・WordPressの更新 | 対応 | 対応 |
| サイト表示の確認 | トップページ | 全ページ |
| 障害時の復旧対応 | 別途見積もり | 対応 |
| 不正ログイン・マルウェア監視 | 対象外 | 対応 |
| 問い合わせフォームテスト | 対象外 | 対応 |
これはツタウェブの保守料金の例であり、一律の相場ではありません。自作サイトやAIで生成したサイトは、利用環境と現状を確認したうえで対応可否や条件を相談します。保守契約によって、すべての攻撃や障害を防げるという意味でもありません。
緊急対応の連絡方法と、追加費用の条件を確認する
月額費用とあわせて、契約範囲を超える作業の扱いも確認します。一般に見積もりで確認しておきたい項目を挙げます。
| 費用を確認する場面 | 見積もり・契約で確認すること |
|---|---|
| 既存サイトの保守を引き継ぐ | 初期確認や環境整理の費用が必要か |
| 更新で機能が動かなくなった | 復旧とプログラム改修の範囲、追加料金 |
| 不正アクセスが疑われる | 原因調査・除去・復元が含まれるか、調査費用 |
| サポート終了に伴い移行する | 移行・作り直しの見積もりが別途必要か |
| 営業時間外に障害が起きた | 受付方法、対応可能時間、追加費用の条件 |
対応開始までの連絡方法や、停止時の案内を誰が出すかも決めます。「何かあれば全部任せられる」と受け取る前に、担当する作業と契約条件を具体的に確かめてください。
よくある質問
Q. AIで作ったホームページなら更新しなくても大丈夫ですか？
A. AIを使ったかどうかだけでは判断できません。WordPressやサーバー上のプログラムを利用するなら、それらの修正情報を確認する必要があります。静的なページでも、公開先のアカウントや外部フォームなどは管理対象です。制作方法だけで判断せず、公開に使っている仕組みを調べましょう。
Q. WordPressを自動更新にしていれば、保守管理は不要ですか？
A. 自動更新を利用しても、保守管理すべてを任せられるわけではありません。どこまで自動化されているか、更新が成功したか、表示やフォームに問題がないかを確認します。PHPなどの環境やアカウントの管理、バックアップからの復旧も別に考え、問題が起きたときの担当者を決めてください。
Q. SSLに対応していれば、セキュリティは十分ですか？
A. HTTPSによる暗号化は、ブラウザーとサイト間の通信を保護するための対策です。プログラムの脆弱性や管理アカウントの不正利用、保存されたデータの閲覧権限まで解決するものではありません。暗号化を整えたうえで、更新・認証・権限など、それぞれ必要な対策も確認してください。
Q. 問い合わせフォームがなければ、放置しても問題ありませんか？
A. フォームから相談内容を受け取らない構成でも、サイトの改ざんや管理アカウントの不正利用などへの備えは必要です。ドメインや公開先の契約が切れて表示できなくなることもあります。扱う情報と利用している仕組みに合わせ、必要な管理を整理し、公開を続ける間の担当を決めましょう。
Q. セキュリティプラグインを入れるだけで安全になりますか？
A. プラグインが提供する保護機能は対策の一部です。本体や各機能の更新、適切な認証、アクセス権限、バックアップなども確認します。プラグイン自体にも更新が必要で、導入しただけで安全を保証するものではありません。何を防ぐ機能なのかと、自分で管理する項目を把握してください。
Q. 他社制作や自作のサイトでも、保守を相談できますか？
A. 相談する際は、利用サービス、サイトの構成、契約情報、現在困っていることを整理すると状況を伝えやすくなります。対応できるかは依頼先の範囲やサイトの状態によって異なり、引き継ぎ前の確認や改修が必要になる場合もあります。費用と管理範囲を確認してから契約しましょう。
まとめ
AIや作成サービスで制作を進めやすくなっても、公開後の管理を決めておく必要があります。まず、使っている仕組み、扱う情報、更新や障害対応の担当者を確認しましょう。
分からないままにせず、確認できる相手を持つことも管理の一つです。私たちは、サイトの目的と運用体制を伺い、制作・保守・継続的な改善を支援しています。ツタウェブへのお問い合わせから、現在の管理状況や困っている作業をお聞かせください。
参考文献
- PHP公式セキュリティ案内 — 2026年10月の修正公開。
- IPA：PHPの脆弱性対策 — 影響と対策の案内。
- JPCERT/CC：PHPの脆弱性に関する注意喚起 — 対策と侵害調査の留意点。
- TKC：一部サービスの一時休止 — 対策に伴う一時休止の公式発表。
- IPA：安全なウェブサイトの運用管理に向けての20ヶ条 — 運用管理の確認項目。
- WordPressのセキュリティ対策 — 管理範囲とリスク低減。
- WordPressの自動更新 — テーマ・プラグインの自動更新。
- WordPressのバックアップ — ファイルとデータベースの保存。
- Wixのセキュリティ対策 — 基盤側の対策と利用者向け機能。
- MDN：TLSの概要 — 通信の保護。
- ツタウェブの料金案内 — 保守プランの料金と範囲。2026年10月26日確認。
