ホームページ制作で押さえたいセキュリティの基本｜HTTPS・管理権限・フォーム保護の確認ポイント

ホームページ制作を考えるとき、デザインや費用は比較しやすい一方で、セキュリティは「制作会社に任せておけば大丈夫」となりがちです。しかし、問い合わせ情報の扱いや管理画面の権限は、自社の仕事の進め方に合わせて決める必要があります。

専門的な設定をすべて覚える必要はありません。大切なのは、何を守り、誰が管理し、問題が起きたらどう動くかを制作時に確認することです。小規模企業や店舗の担当者が、見積もり・打ち合わせ・公開前の確認で使えるポイントを整理します。

ホームページの安全対策は制作時に決めておく

小さな会社や店舗のホームページでも、不正な書き換え、フォームへの大量の迷惑送信、問い合わせ情報の漏えいに備える必要があります。攻撃は有名企業だけを狙うとは限らず、対策が不十分なサイトを自動的に探すケースもあるためです。

被害はサイトの中だけで完結しません。営業時間や連絡先を書き換えられれば来店機会を失い、フォームが使えなくなれば商談を逃します。顧客情報の漏えいが疑われれば、調査や説明に時間がかかり、信頼にも影響します。安全対策は、集客の仕組みを支える土台と考えましょう。

最初に整理したいのは、ホームページで扱う情報です。会社案内だけなのか、予約を受け付けるのか、住所や相談内容を収集するのかによって、必要な対策は変わります。例えば、工務店の見積もり依頼では住所や現場写真を扱う可能性があり、単なる資料請求とは確認事項が異なります。

• サイトで収集する情報と、その利用目的を洗い出す。
• 自社が行う管理と、制作会社へ依頼する作業を分ける。
• 初期制作に含む対策と、公開後の保守に含む対策を確認する。

「セキュリティ対応済み」という説明だけで終わらせず、対象・担当・確認方法を見積書や打ち合わせ記録に残してください。本記事は一般的な確認ポイントであり、対策を行ってもリスクがゼロになるわけではありません。扱う情報や業種に応じて、追加の検討が必要です。

HTTPS対応と外部サービスの接続を確認する

HTTPSは、ブラウザとサイトの間の通信を暗号化し、途中で内容を盗み見られたり改変されたりするリスクを減らす仕組みです。問い合わせフォームを含め、サイト全体で対応するのが基本です。ただし、HTTPSだけで不正ログインや情報漏えいまで防げるわけではありません。

制作会社には、HTTPSに必要な証明書を誰が設定し、誰が更新するかを確認しましょう。自動更新でも、更新失敗への気付き方や対応担当が決まっていなければ、期限切れで警告が出るおそれがあります。サーバー契約や制作会社が変わる際の引き継ぎも確認すると安心です。

• HTTPのURLでアクセスした場合、HTTPSへ適切に転送されるか。
• 画像や動画、埋め込み要素にも安全な接続が使われているか。
• 証明書の更新状況を誰が確認し、異常時に対応するか。

予約システム、地図、アクセス計測タグなどの外部サービスも整理します。「便利だから」と増やすのではなく、利用目的、管理者、送られる情報を確認してください。外部サービス側の障害や仕様変更で表示が崩れることもあるため、停止時に予約案内をどう代替するかも検討します。

公開前は、パソコンとスマートフォンで主要ページを開き、ブラウザの警告、画像の欠落、予約画面への移動を確認します。制作会社には技術的な点検を依頼し、自社では実際の利用者と同じ操作を試すという役割分担が有効です。警告が出ないことは基本確認であり、安全性全体の証明ではありません。

管理画面のアカウントと権限を整理する

ホームページ制作で管理権限を考える際は、「更新する人」と「設定を変更する人」を分けましょう。CMSという記事や画像を編集する仕組みでは、担当者ごとに操作できる範囲を設定できる場合があります。お知らせの更新担当者に、利用者の追加やサイト全体の設定変更まで許可する必要はありません。

必要な範囲だけ操作できるようにすることで、誤操作やアカウントの乗っ取りによる影響を抑えられます。問い合わせ情報の閲覧権限も、記事編集とは分けて検討してください。細かな権限設定ができないサービスなら、その制約を把握したうえで、情報を別の仕組みに保存するなどの方法を相談します。

ログイン用のアカウントは、できるだけ担当者ごとに発行します。共通アカウントを使い回すと、誰が操作したか分かりにくくなり、退職者だけの利用を止めることも難しくなります。パスワードは長く推測されにくいものにし、ほかのサービスと使い回さないことが基本です。

対応している場合は、多要素認証も確認しましょう。パスワードに加え、認証アプリなど別の確認手段を使う仕組みです。導入時には、スマートフォンを紛失した場合の復旧手順や、復旧用コードの保管担当まで決めておくと、業務停止を避けやすくなります。

• 制作会社の作業用アカウントを自社担当者と分け、必要な権限だけ付与する。
• 納品後に残すアカウントと、停止するアカウントを確認する。
• 担当者交代・退職・契約終了時の権限削除手順を決める。
• 復旧用メールアドレスは、会社が継続して管理できるものにする。

ID・パスワード・復旧用コードは、問い合わせフォームや記事原稿に記載しないでください。制作会社への共有が必要な場合も、先に安全な受け渡し方法を相談しましょう。アカウント一覧には担当者と権限を記録し、認証情報そのものは適切な管理手段で保管します。

問い合わせフォームは入力情報と迷惑送信対策を設計する

問い合わせフォームのセキュリティは、入力項目を決める段階から始まります。収集する情報は対応に必要な範囲に絞り、不要な住所、生年月日、本人確認書類などは求めないようにしましょう。詳しい情報が必要なら、最初の問い合わせ後に適切な方法で受け取る設計も選べます。

制作会社には、入力値の検証をサーバー側でも行うか、入力された内容を安全に扱う仕組みがあるかを質問します。画面上の文字数制限や必須表示だけでは、不正な送信を十分に防げません。専門的な実装は任せつつ、何を確認したか説明してもらうことが大切です。

迷惑送信には、一定時間内の送信回数を制御する方法や、自動プログラムによる送信を見分ける仕組みなどがあります。対策の組み合わせは利用状況に合わせて選びます。ただし、制限が厳しすぎると正規の利用者も送れなくなるため、使いやすさとの両立を確認してください。

添付ファイルを受け付ける場合は、本当に必要かを先に検討します。必要なら、種類・容量・件数を制限し、危険なファイルへの対策や、誰でもアクセスできない保存方法を制作会社へ確認しましょう。ファイル名の拡張子だけで判断する設計では不十分です。

テストでは正常な送信に加え、必須項目の未入力、形式が違うメールアドレス、容量超過、連続送信なども試します。エラー時に修正箇所が分かるか、入力し直しの負担が大きくないか、担当者へ通知が届くかを確認してください。公開前のテストには、顧客の実情報ではなくテスト用の情報を使いましょう。

問い合わせ情報の保存先と閲覧範囲を決める

フォームの見た目が完成しても、情報の管理設計は終わりではありません。送信内容が担当者へのメールだけに届くのか、CMSにも残るのか、外部サービスに保存されるのかを確認します。同じ情報が複数の場所に残る場合は、それぞれの閲覧者と削除方法を把握する必要があります。

例えば、代表メールから個人のメールへ自動転送していると、退職後も転送先に情報が残る可能性があります。共有の一覧表へ転記したり、端末にファイルをダウンロードしたりすれば、管理対象はさらに増えます。フォームから回答・保存・削除までの流れを、実際の仕事に沿って整理しましょう。

• 保存先：メール、CMS、外部サービス、端末などを一覧にする。
• 閲覧範囲：対応に必要な担当者だけが見られるようにする。
• 保存期間：利用目的や必要な保存義務を踏まえて決める。
• 削除方法：誰が、いつ、どの保存先から削除するかを決める。

保存期間には、すべての会社に共通する一律の正解はありません。業務上必要な期間を検討し、不要になった情報を漫然と残さない運用にします。バックアップに残る情報についても、保持期間や削除の扱いを確認してください。担当者交代時にはメールの転送設定や共有先も見直します。

自動返信メールに入力内容を無条件で全文掲載することも避けたいポイントです。メールアドレスの入力間違いで、別の人へ相談内容が届くおそれがあります。受付完了の案内だけにする、機微な内容は載せないなど、扱う情報に合わせて掲載範囲を決めましょう。

プライバシーポリシーは、ほかのサイトの文章をそのまま流用せず、収集項目、利用目的、外部サービスとの関係など、実際の取り扱いに合わせます。法的な判断が必要な点は、弁護士などの専門家に確認してください。

更新・バックアップ・障害対応の担当を確認する

ホームページのセキュリティ対策は、公開後も続きます。CMSや追加機能には、不具合や安全上の問題を修正する更新が提供されることがあります。誰が更新情報を確認し、何を更新し、動作確認まで行うかを制作時に合意しておきましょう。

「自動更新だから任せてよい」とは限りません。更新後にフォームが動かなくなるなど、機能の組み合わせによる問題が起きる場合もあります。更新前のバックアップ、更新後の主要ページとフォームの確認、問題が起きた際の戻し方まで含めて担当を決めます。使わなくなった追加機能の整理も必要です。

バックアップは、保存しているだけでは十分ではありません。記事・画像・設定・データベースなど、復旧に必要なものが対象に含まれるかを確認します。頻度、保持期間、保存先、閲覧権限に加え、実際に復元できることをどう確かめるかが重要です。

例えば毎日バックアップしていても、復元する時点によっては直近の問い合わせ情報が失われる可能性があります。どの程度のデータ損失や停止時間を許容できるかも共有しましょう。同じサーバーだけに保存する場合は、サーバー全体の障害に備えた別の保存先を検討します。

不正アクセスや表示異常が疑われた場合は、むやみにファイルや履歴を消さず、発見時刻、表示内容、影響範囲を記録して連絡します。調査に必要な記録を残しつつ、公開停止、権限停止、原因調査、復旧を誰が判断するかを決めておくと、初動が早くなります。

月額費用に含まれる更新・監視・復元と、別途費用になる調査や緊急対応は、サービスごとの契約内容で確認してください。Renowebについても、未確認の対応を前提にせず、希望する範囲を相談しましょう。見積もり比較の考え方は「ホームページ制作の見積もり比較で見るべきポイント」（/column/homepage-estimate-comparison/）も参考になります。

まとめ：公開前の確認リストを制作会社と共有しよう

ホームページ制作のセキュリティで大切なのは、対策名をたくさん覚えることではなく、自社の情報と運用に合った確認をすることです。次の項目を制作会社と共有し、公開前のチェックリストとして活用してください。

• HTTPS：証明書の更新担当、HTTPからの転送、主要ページの警告や表示異常を確認したか。
• アカウント：担当者別の権限、多要素認証、不要なアカウントの停止方法を確認したか。
• フォーム：必要最小限の入力項目、入力検証、迷惑送信対策、正常時とエラー時の動作を確認したか。
• 情報保存：保存先、閲覧者、保存期間、削除方法、自動返信への掲載範囲を決めたか。
• 更新：CMSと追加機能の更新担当、作業対象、更新後の確認範囲を決めたか。
• 復元：バックアップの対象、頻度、保存先、保持期間、復元手順を確認したか。
• 連絡先：異常時の窓口、対応時間、一次対応と復旧判断の担当、費用条件を共有したか。

各項目には「担当者」「確認結果」「未対応事項」を記録します。未対応事項には、対応期限や公開への影響も添えましょう。「確認したつもり」を減らし、担当者が変わっても判断の経緯を引き継げます。公開後も、機能追加や人員変更に合わせて見直すことが大切です。

すべてを自社だけで判断する必要はありません。業種、予約の有無、フォームで扱う情報を伝え、必要な対策を相談しましょう。ホームページ制作で「安全対策をどこまで依頼すればよいか分からない」とお悩みでしたら、Renowebのお問い合わせページ（/contact/）からご相談ください。

作りたいサイトの用途と、フォームで受け付けたい内容を添えていただくと、確認事項を整理しやすくなります。パスワードや顧客の個人情報は送らず、必要な対策と対応範囲を一緒に確認しましょう。