更新日：2026年8月16日
サイトのセキュリティとは、Webサイトとそこで扱う情報を、不正なアクセスや改ざん、漏えいから守るための対策のことです。
技術の詳細を理解する必要はありません。ただし「何が守られていて、何が守られていないか」は把握しておく必要があります。
サイトは問い合わせフォームを通じて個人情報を扱うため、無関係ではいられません。
最低限の対策
| 対策 | 内容 | 確認方法 |
|---|---|---|
| HTTPS化 | 通信の暗号化 | URLがhttpsか |
| 証明書の有効期限 | 切れると警告が出る | 期限を確認 |
| CMS・プラグインの更新 | 脆弱性の修正 | 管理画面 |
| 管理画面のパスワード | 使い回さない | — |
| 管理画面へのアクセス制限 | IP制限、二要素認証 | — |
| バックアップ | 取得と、復元できるか | — |
| 不要なアカウントの削除 | 退職者など | — |
「バックアップが復元できるか」を確認してください。取得しているつもりで、実際には復元できない状態のことがあります。
フォームで扱う情報
| 項目 | 注意 |
|---|---|
| 個人情報の取得 | 利用目的の明示 |
| プライバシーポリシー | 必須 |
| 送信内容の保存先 | どこに、どれだけ |
| 通知メールの宛先 | 個人のアドレスになっていないか |
| 添付ファイル | ウイルスの確認、保存先 |
| アクセスできる人 | 権限の範囲 |
| 保存期間 | — |
通知メールが個人のアドレスに届く設定は避けてください。退職時に問い合わせが受け取れなくなります。
スパム・不正送信への対策
| 対策 | 効果 | 注意 |
|---|---|---|
| reCAPTCHA等の導入 | 機械的な送信を減らす | 過度だとCVも減る |
| 入力時間の制限 | 極端に速い送信を弾く | — |
| 特定の文字列を弾く | — | 誤検知に注意 |
| 送信元による制限 | — | — |
| 確認画面の設置 | — | CVは下がる |
対策を強くしすぎるとCVも減ります。スパムの量と、失うCVのバランスで判断してください。
マーケティング担当が確認すること
- 誰が管理しているか：社内か、制作会社か
- 更新は誰が行うか：CMS、プラグイン
- バックアップの有無と復元手順
- 問題が起きたときの連絡先
- ドメイン・サーバーの契約者と更新時期
- 管理画面にアクセスできる人の一覧
「ドメインの更新時期」を把握していないと、失効してサイトが表示されなくなる事故が起きます。
起きやすい事故
| 事故 | 原因 | 影響 |
|---|---|---|
| ドメインの失効 | 更新忘れ | サイトが表示されない |
| 証明書の失効 | 同上 | 警告が出る |
| CMSの改ざん | 更新の放置 | 評価の低下、閲覧者への被害 |
| 問い合わせが届かない | メールの設定、迷惑メール判定 | 機会損失 |
| 退職者がアクセスできる | 権限の削除漏れ | — |
| バックアップから戻せない | 未検証 | 復旧できない |
「問い合わせが届かない」は気づきにくい事故です。定期的に自分でフォームを送信して確認してください。
事故が起きたときの対応
| 順 | やること |
|---|---|
| ① | 状況を確認する（何が起きているか） |
| ② | 影響範囲を把握する（情報漏えいの有無） |
| ③ | 社内に報告する |
| ④ | 専門家・制作会社に連絡する |
| ⑤ | 必要に応じてサイトを停止する |
| ⑥ | 復旧する |
| ⑦ | 原因を特定し、再発防止 |
| ⑧ | 必要に応じて関係者へ通知する |
個人情報の漏えいが疑われる場合は、法令上の対応が必要になることがあります。速やかに専門家に相談してください。
確認の頻度
| 項目 | 頻度 |
|---|---|
| CMS・プラグインの更新 | 月次 |
| 証明書の有効期限 | 四半期 |
| ドメインの更新時期 | 年次（自動更新の設定確認） |
| 管理画面のアカウント | 四半期 |
| バックアップの復元テスト | 半年 |
| フォームの送信テスト | 月次 |
フォームの送信テストは月次で行ってください。気づかないうちに届かなくなっていることがあります。
まとめ
- 技術の詳細は不要だが何が守られているかは把握する
- バックアップは復元できるかまで確認
- 通知メールを個人のアドレスにしない
- スパム対策を強くしすぎるとCVも減る
- ドメインの更新時期を把握する
- フォームの送信テストを月次で行う
- 漏えいが疑われる場合は速やかに専門家へ
よくある質問
マーケティング担当はどこまで把握すべきですか？
技術の詳細は不要ですが、「誰が管理し、何が守られているか」は把握してください。具体的には、サイトの管理者（社内か制作会社か）、CMSの更新を誰が行うか、バックアップの有無と復元手順、ドメインとサーバーの契約者と更新時期、管理画面にアクセスできる人の一覧です。
問い合わせが届かなくなることはありますか？
あります。メールの設定変更、迷惑メール判定、通知先アドレスの失効などが原因です。気づきにくい事故なので、月次で自分でフォームを送信して届くか確認してください。あわせて、通知先が個人のメールアドレスになっていないかも確認してください。退職時に受け取れなくなります。
スパム送信が多いのですが。
対策を強くしすぎるとCVも減ります。reCAPTCHA等の導入、入力時間による制限などが有効ですが、正規の送信まで弾いてしまうと機会損失になります。スパムの量と、失うCVのバランスで判断してください。まずは軽い対策から試し、効果を見ながら調整することをお勧めします。
事故が起きた場合はどうすればよいですか？
状況と影響範囲を確認し、社内に報告したうえで、専門家や制作会社に連絡してください。特に個人情報の漏えいが疑われる場合は、法令上の対応が必要になることがあります。自己判断で対処せず、速やかに専門家に相談してください。あわせて、必要に応じてサイトの一時停止も検討してください。
