自社のWebサイトが安全かどうかは、7つの分野・41項目のチェックリストで確認できます。そのうち「ブラウザだけで確認できる7項目」は、専門知識がなくても今日すぐ点検できます。管理画面やサーバーの項目は、制作会社・保守会社と一緒に確認しましょう。

点検の結果、×が付いたら**「ソフトウェアの更新」「管理者アカウントとパスワード」「バックアップ」**から優先して直してください。この3つは被害の入口や復旧の可否に直結する項目です。

このチェックリストは、対策の全体像を解説したWebサイトのセキュリティ対策ガイドの実践編です。各項目の詳しいやり方は、表の中で案内している個別記事を参考にしてください。

チェックリストの使い方｜判定基準と確認する人

各項目を次の3段階で判定し、×と△の項目を後半の「優先順位」の表に沿って直していきます。

「わからない」は×ではなく△として扱い、確認先（誰に聞けばわかるか）をメモしておくのがポイントです。各表の「確認する人」の列は、自社で見られるか、制作・保守会社に確認が必要かの目安です。

【1】ブラウザだけで今すぐ確認できる項目（7項目）

専門知識や管理画面のログイン情報がなくても、ブラウザとGoogle検索だけで確認できる項目です。まずここから始めましょう。

A3の補足：SSL/TLS証明書の最大有効期間は、CA/Browser Forumの決定により2026年3月から段階的に短くなり、2029年3月には47日になります。手動で更新している場合は、自動更新に切り替えられるかをサーバー会社や保守会社に確認しておくと安心です。HTTPS化の手順はSSL（HTTPS化）の必要性と導入手順で解説しています。

A5・A7の補足：改ざんの中には、管理者が普通に閲覧しても気づけないものがあります。JPCERT/CCは2026年4〜6月期のレポートで、Googlebotでアクセスしたときだけ海外オンラインカジノのコンテンツが表示される改ざん事例を報告しています。Googleのスパムポリシーでも、リファラーや端末によって挙動が変わるリダイレクトが、ハッキングされたコンテンツの例として説明されています。普段の閲覧で異常がなくても、A5とA6は必ず確認してください。

A6の補足：Search Consoleに未登録の場合は、まず登録から始めましょう。Googleがサイトのハッキングや訪問者に危害を及ぼす動作を検出すると、このレポートに調査結果が表示されます（Search Console ヘルプ）。

【2】ログイン・アカウントの項目（7項目）

管理画面への不正ログインは、改ざんや情報漏えいの直接の入口です。警察庁が2026年1月に公表したアンケート結果でも、社外からの業務アクセスの認証を「ID・パスワードのみ」としている組織が39.8%で最多でした。

警察庁は対策として、多要素認証の導入、異動で使わなくなったIDの削除、一定以上のパスワード長を挙げています。WordPress.orgの公式ドキュメントも、強いパスワードに加えて二段階認証を有効にすること、サーバーへの接続には（提供されていれば）SFTPを使うことを推奨しています。設定方法は不正アクセス対策の基本へ。

• No：144 / カテゴリ：Webサイトセキュリティ / クラスター（親ピラー：website-security-guide）
• slug：website-security-checklist
• meta title（採用案）：Webサイトのセキュリティチェックリスト｜今すぐ確認できる項目（31字）
• meta description（採用案）：Webサイトのセキュリティを今すぐ点検できるチェックリストを表形式で紹介。ブラウザで見える項目から管理画面・サーバー・フォーム・バックアップまで41項目の確認方法と合格基準、×だった場合の優先順位がわかります。（105字）

1. タイトル案（3本）

1. Webサイトのセキュリティチェックリスト｜今すぐ確認できる項目（31字）※採用案・H1と一致
2. Webサイトのセキュリティチェックリスト｜確認項目と優先順位（30字）
3. ホームページのセキュリティ点検表｜自社で確認できる41項目（29字）

2. メタディスクリプション案

Webサイトのセキュリティを今すぐ点検できるチェックリストを表形式で紹介。ブラウザで見える項目から管理画面・サーバー・フォーム・バックアップまで41項目の確認方法と合格基準、×だった場合の優先順位がわかります。（105字）

3. 記事本文（Markdown）

Webサイトのセキュリティチェックリスト｜今すぐ確認できる項目

【公開日：YYYY-MM-DD】【更新日：YYYY-MM-DD】
【著者名】／【監修者名】（詳細は記事末尾）

自社のWebサイトが安全かどうかは、7つの分野・41項目のチェックリストで確認できます。そのうち「ブラウザだけで確認できる7項目」は、専門知識がなくても今日すぐ点検できます。管理画面やサーバーの項目は、制作会社・保守会社と一緒に確認しましょう。

点検の結果、×が付いたら**「ソフトウェアの更新」「管理者アカウントとパスワード」「バックアップ」**から優先して直してください。この3つは被害の入口や復旧の可否に直結する項目です。

このチェックリストは、対策の全体像を解説したWebサイトのセキュリティ対策ガイドの実践編です。各項目の詳しいやり方は、表の中で案内している個別記事を参考にしてください。

［画像：website-security-checklist-overview.webp（7分野・41項目の構成と、分野ごとの「自社／自社＋保守会社／保守会社」の内訳）／alt案：Webサイトのセキュリティチェックリスト7分野41項目の構成］

チェックリストの使い方｜判定基準と確認する人

各項目を次の3段階で判定し、×と△の項目を後半の「優先順位」の表に沿って直していきます。

「わからない」は×ではなく△として扱い、確認先（誰に聞けばわかるか）をメモしておくのがポイントです。各表の「確認する人」の列は、自社で見られるか、制作・保守会社に確認が必要かの目安です。

［画像：security-checklist-judgement-flow.webp（○△×の判定フロー図）／alt案：セキュリティチェックリストの○△×判定と対処の流れ］

【1】ブラウザだけで今すぐ確認できる項目（7項目）

専門知識や管理画面のログイン情報がなくても、ブラウザとGoogle検索だけで確認できる項目です。まずここから始めましょう。

A3の補足：SSL/TLS証明書の最大有効期間は、CA/Browser Forumの決定により2026年3月から段階的に短くなり、2029年3月には47日になります。手動で更新している場合は、自動更新に切り替えられるかをサーバー会社や保守会社に確認しておくと安心です。HTTPS化の手順はSSL（HTTPS化）の必要性と導入手順で解説しています。

A5・A7の補足：改ざんの中には、管理者が普通に閲覧しても気づけないものがあります。JPCERT/CCは2026年4〜6月期のレポートで、Googlebotでアクセスしたときだけ海外オンラインカジノのコンテンツが表示される改ざん事例を報告しています。Googleのスパムポリシーでも、リファラーや端末によって挙動が変わるリダイレクトが、ハッキングされたコンテンツの例として説明されています。普段の閲覧で異常がなくても、A5とA6は必ず確認してください。

A6の補足：Search Consoleに未登録の場合は、まず登録から始めましょう。Googleがサイトのハッキングや訪問者に危害を及ぼす動作を検出すると、このレポートに調査結果が表示されます（Search Console ヘルプ）。

［画像：Search Consoleの「セキュリティの問題」レポート画面のスクリーンショット（自社サイトで取得）／alt案：Search Consoleのセキュリティの問題レポートで問題が検出されていない状態の画面］

【2】ログイン・アカウントの項目（7項目）

管理画面への不正ログインは、改ざんや情報漏えいの直接の入口です。警察庁が2026年1月に公表したアンケート結果でも、社外からの業務アクセスの認証を「ID・パスワードのみ」としている組織が39.8%で最多でした。

警察庁は対策として、多要素認証の導入、異動で使わなくなったIDの削除、一定以上のパスワード長を挙げています。WordPress.orgの公式ドキュメントも、強いパスワードに加えて二段階認証を有効にすること、サーバーへの接続には（提供されていれば）SFTPを使うことを推奨しています。設定方法は不正アクセス対策の基本へ。

【3】ソフトウェア更新の項目（5項目）

CMS本体やプラグインの更新漏れは、既知の脆弱性を突かれる最も典型的な原因です。Search Console ヘルプでも、スパムを埋め込まれる原因の例として、古く安全でないバージョンのCMSの脆弱性が挙げられています。

WordPress.orgは、常に最新版を使うこと、プラグインを最新に保ち使っていないものは削除することを推奨しています。古いバージョンにはセキュリティ更新が提供されないためです。

C4の補足：PHP公式サイトのサポート表（2026年10月8日時点）では、PHP 8.2のセキュリティサポートは2026年12月31日まで、8.3は2027年12月31日までとされています。8.1以前はすでにサポートが終了しています。バージョンを上げる際はプラグインの対応状況も確認が必要なため、保守会社と計画的に進めましょう。WordPressの更新手順はWordPressの安全な更新方法で解説しています。

【4】サーバー・ファイルの項目（5項目）

レンタルサーバーでは、サーバー機器やOSはサーバー会社が管理しますが、その上に設置したCMSやファイルの管理は利用者側の責任です。WordPress.orgの公式ドキュメントも、ホスティング会社はインストールされたアプリケーションには責任を負わないと説明しています。

D3の「リニューアル前の旧サイトがそのまま残っている」状態は、更新されないCMSが公開され続けることになるため特に注意が必要です。WAFの役割と導入判断はWAFとは？導入の判断基準、サーバー側の設定はサーバーのセキュリティ対策で解説しています。

【5】お問い合わせフォーム・個人情報の項目（6項目）

お問い合わせフォームは、スパム対策だけでなく個人情報の管理に関わる部分です。2024年4月1日施行の個人情報保護法施行規則の改正で、不正な目的による漏えい等の報告対象には、事業者が**「取得しようとしている」個人情報**も含まれるようになりました（個人情報保護委員会Q&A）。

E5の補足：個人情報保護委員会のQ&Aでは、報告対象となる「事業者に対する行為」の相手方に、入力フォーム作成ツールやアクセス解析ツールなどの提供事業者も含まれる例が示されています。自社サーバーだけでなく、使っているサービス全体を把握しておくことが大切です。

E6の補足：個人情報保護委員会のガイドライン（通則編）では、ユーザーの入力画面などで本人から直接個人情報を取得する場合、あらかじめ利用目的を明示しなければならないとされています。フォーム対策の詳細はお問い合わせフォームのセキュリティ対策へ。

【6】バックアップ・監視・緊急時の項目（7項目）

どれだけ対策しても、被害を完全にゼロにはできません。この分野は「早く気づけるか」「元に戻せるか」を確認する項目です。警察庁の同アンケートでは、事故対応マニュアル等を作成していない組織が41.2%ありました。

F1〜F3・F5の補足：WordPress.orgはデータベースを含む定期的なバックアップを推奨しています。警察庁も被害を抑える対策として、オフラインを含むバックアップの取得と、被害調査に必要不可欠なログの取得を挙げています。WordPressのバックアップ方法はWordPressのバックアップ方法で解説しています。

F7の補足：個人情報保護委員会によると、漏えい等報告の対象になる事態（不正な目的による漏えい等、1,000人を超える漏えい等など4類型）が起きた場合、**速報は発覚日から3〜5日以内、確報は30日以内（不正な目的によるおそれがある場合は60日以内）**に報告します。実際に被害に遭ったときの動き方はホームページがハッキングされたときの初動対応にまとめています。

【7】体制・契約の項目（4項目）

技術的な設定ができていても、担当者の異動や契約の切れ目で更新が止まることがあります。最後に「続けられる体制か」を確認します。

G3の補足：IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月公開）の付録「5分でできる！情報セキュリティ自社診断」には、「ウェブサイトを安全に運用する」という診断項目が追加されています。Webサイトだけでなく、社内PCやメールも含めた点検に活用できます。

×が付いた項目の優先順位

×や△が多くても、一度にすべて直す必要はありません。被害の入口になりやすい項目、被害が出たときに影響が大きい項目から順に対処しましょう。以下は当社が考える優先順位の目安です。

［画像：website-security-checklist-priority.webp（×が付いた項目を直す優先順位を4段階で示した図）／alt案：セキュリティチェックリストで×が付いた項目の優先順位］

A5やA6で不審なページや警告が見つかった場合は、すでに改ざんされている可能性があります。チェックリストの続きよりも、制作会社・保守会社への連絡を優先してください。改ざんの見分け方はホームページ改ざんの原因と見つけ方で解説しています。

チェックする頻度の目安

一度点検して終わりではなく、定期的に繰り返すことで効果が出ます。以下は当社が推奨する目安です。サイトの規模や更新頻度に応じて調整してください。

リニューアル時の確認項目はホームページ制作のチェックリストもあわせて活用してください。

チェックリストでわからないことと専門家に頼むべきケース

このチェックリストは、運営者が自分で確認できる範囲の点検を目的としています。次のような場合は、チェックリストだけでは判断できないため、専門家への相談をおすすめします。

• 独自開発のフォームや会員機能、ECの決済機能がある：SQLインジェクションなど、プログラムの作り込みに起因する脆弱性は外から見てもわかりません。IPAの「安全なウェブサイトの作り方」でも、こうした脆弱性と対策が開発者・運営者向けに解説されています。専門家による点検はWebサイトの脆弱性診断とはを参考にしてください。
• A5・A6で異常が見つかった：被害の範囲調査とログの保全が必要です。
• △が多く、確認先がわからない：制作会社と連絡がつかない、契約内容が不明といった場合は、まず現状の棚卸しから始める必要があります。

WordPressで作られたサイトに固有の対策は、WordPressのセキュリティ対策ガイドで体系的に解説しています。

まとめ｜まずはブラウザでできる7項目から確認を

• Webサイトのセキュリティは、ブラウザ・アカウント・更新・サーバー・フォーム・バックアップ・体制の7分野41項目で点検できます。
• 専門知識がなくても、【1】のブラウザで確認できる7項目は今日から点検できます。特に「site:検索」とSearch Consoleの「セキュリティの問題」は、管理者が気づきにくい改ざんの発見に役立ちます。
• ×が付いたら、更新漏れ・不要なアカウント・バックアップを最優先で直しましょう。
• 「わからない」は△として確認先をメモし、制作会社・保守会社と一緒に埋めていくのが現実的です。
• 点検は毎月・3か月ごと・年1回と定期的に繰り返し、担当者の異動時やリニューアル後にも見直してください。

参考資料・出典

• JPCERT/CC「JPCERT/CC 四半期レポート 2026年4月1日〜2026年6月30日」2026年7月16日 https://www.jpcert.or.jp/qr/2026/QR_FY2026-Q1.pdf
• 警察庁「サイバー攻撃の被害に係る企業・団体を対象としたアンケート調査結果及び対策」令和8年1月 https://www.npa.go.jp/bureau/cyber/pdf/R7countermeasures_leaflet.pdf
• 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&Aの更新」2024年3月1日 https://www.ppc.go.jp/files/pdf/2403_APPI_QA_tsuikakoushin.pdf
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 https://www.ipa.go.jp/security/guide/sme/about.html
• IPA「5分でできる！情報セキュリティ自社診断」 https://www.ipa.go.jp/security/guide/sme/5minutes.html
• IPA「安全なウェブサイトの作り方」改訂第7版 https://www.ipa.go.jp/security/vuln/websecurity/about.html
• Search Console ヘルプ「セキュリティの問題レポート」 https://support.google.com/webmasters/answer/9044101?hl=ja
• Google Search Central「Google ウェブ検索のスパムに関するポリシー」 https://developers.google.com/search/docs/essentials/spam-policies?hl=ja
• CA/Browser Forum「Ballot SC-081v3」2025年4月11日 https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/
• PHP「Supported Versions」（2026年10月8日閲覧） https://www.php.net/supported-versions.php
• WordPress.org「Hardening WordPress」（Advanced Administration Handbook） https://developer.wordpress.org/advanced-administration/security/hardening/