ConoHa WINGで失敗しないセキュリティ対策15選

ConoHa WINGを使い始めて、「このままのセキュリティ設定で本当に大丈夫かな…」とモヤモヤしていませんか。

結論から言うと、用意されている機能をきちんと設定しておけば、個人ブログや中小規模のサイトなら、かなり安心して運用できます。

ConoHa WINGのセキュリティは大丈夫？結論と全体像

ConoHa WINGの主なセキュリティ機能一覧

まず、ConoHa WINGで利用できる主なセキュリティ機能を表で整理します。

機能名	役割	設定場所のイメージ
WAF（Webアプリケーションファイアウォール）	不正なアクセスや攻撃を自動でブロック	サイト管理 ＞ サイトセキュリティ ＞ WAF
独自SSL（無料・有料）	サイトと閲覧者の通信を暗号化	サイト管理 ＞ サイトセキュリティ ＞ SSL
WordPressセキュリティ	ログイン制限、コメント制限、海外アクセス制限など	サイト管理 ＞ サイトセキュリティ ＞ WordPressセキュリティ
ディレクトリアクセス制限	特定フォルダにIDとパスワードでロック	サイト管理 ＞ サイトセキュリティ
IPアクセス制限	アクセスを許可するIP・拒否するIPを制御	サイト管理 ＞ サイトセキュリティ
ネットde診断	Webサイトの脆弱性診断を実行	サイト管理 ＞ サイトセキュリティ ＞ ネットde診断
メールセキュリティ	迷惑メールフィルター、ウイルスチェック、DMARCなど	メール管理 ＞ メールセキュリティ
自動バックアップ	Web・メール・DBのデータを1日1回自動保存	サーバー管理 ＞ 自動バックアップ

ざっくり言うと、「攻撃を防ぐ」「通信を暗号化する」「メールを守る」「壊れても戻す」の4つを、ConoHa WINGの機能で一通りカバーできます。

レンタルサーバーのセキュリティリスクとConoHa WINGで守れる範囲

よくある攻撃パターンと被害例をイメージしよう

代表的な攻撃やリスクは、難しい言葉を抜きにするとだいたい次のようなものです。

これらに対して、ConoHa WING側とWordPress側がどう役割分担するかをざっくり表にすると、次のようなイメージになります。

リスク	よくある症状	ConoHa WING側の主な対策	WordPress側で補強する部分
総当たり攻撃	管理画面ログイン試行が大量に発生	WordPressセキュリティのログイン制限	強力なパスワード、2段階認証プラグイン
フォームなどを狙う攻撃	データベースへの不正アクセス	WAF、ネットde診断	テーマ・プラグインの更新
改ざん	表示内容の書き換え	WAF、自動バックアップからの復元	不要なプラグイン削除、権限管理
スパムコメント	コメント欄が広告で埋まる	WordPressセキュリティのコメント制限	Akismetなどスパム対策プラグイン
スパムメール	迷惑メールの大量送信・受信	迷惑メールフィルター、ウイルスチェック	フォーム側のキャプチャ導入
なりすましメール	本物そっくりのメールが届く	SPF・DKIM・DMARCによる送信ドメイン認証	メール配信ツール側の設定確認

大事なのは、「サーバー側だけ」「WordPress側だけ」で完結させようとしないことです。

ConoHa WINGのセキュリティ機能で土台を固めつつ、WordPressの基本的な運用（更新・プラグイン整理など）もあわせて行うイメージで考えるとバランスが取りやすくなります。

ConoHa WINGのサイトセキュリティ設定（WAF・SSL・アクセス制限）

WAF（Webアプリケーションファイアウォール）の設定とログの見方

WAFは、フォームやURLに不自然な文字列を送りつけてくる攻撃を、自動でブロックしてくれる「番犬」のような存在です。

設定手順のイメージはこんな感じです。

• コントロールパネルにログイン
• 上部メニュー「WING」→「サイト管理」
• 対象ドメインを選び、「サイトセキュリティ」→「WAF」タブ
• 「利用設定」をONにする

これで、基本的なWAFは有効になります。

同じ画面で「ログ」を選ぶと、遮断した攻撃の一覧が見られます。最初は内容がわかりにくいと思いますが、「こんなに攻撃が来ているんだな」と知るだけでも、WAFをONにしておく重要性を実感できます。

広告タグを貼ったときや、フォームをカスタマイズしたときに、正しいアクセスまでWAFがブロックしてしまうこともあります。その場合は、ログを確認して問題になっているルールだけOFFにしたり、一時的にWAFをOFFにして動作確認をする、といった使い方を覚えておくと安心です。

項目	おすすめ設定	ポイント
利用設定	基本は常時ON	特殊な事情がない限りOFFにしない
ログの確認	大きな変更のあとにチェック	広告タグ追加やフォーム変更後に確認すると安心
ルール個別ON/OFF	デフォルトのまま	不具合が出たときだけ該当ルールをOFF

SSL設定（無料独自SSL・オプションSSL）の違いと選び方

次に、通信を暗号化するSSLの話です。ここは「とりあえず無料SSLにしておけばOK」と思われがちですが、違いを軽く知っておくと、後で迷いにくくなります。

ConoHa WINGでは、

• 無料独自SSL
• オプション独自SSL（アルファSSLなど）

が利用でき、どちらも「サイトセキュリティ」→「SSL」タブから設定できます。

項目	無料独自SSL	オプション独自SSL
費用	追加費用なし	プランにより無料で利用できる場合あり
証明書の種類	ドメイン認証（DV）	同じくDVだが、ブランド力のある証明書
向いているサイト	個人ブログ、アフィリエイトサイトなど	企業サイト、信頼性を特にアピールしたいサイト
設定の手間	ボタン1つで有効化	申し込み・設定が少し増える

ほとんどのブログや個人サイトでは、無料独自SSLで十分です。会社の公式サイトや、名刺・パンフレットにURLを載せるようなサイトでは、オプション独自SSLを検討する、くらいの感覚で考えておくとよいと思います。

ディレクトリアクセス制限とIPアクセス制限の使いどころ

「ディレクトリアクセス制限」と「IPアクセス制限」は、サイトの中でも公開範囲を絞りたい部分を守るための機能です。

• ディレクトリアクセス制限：特定フォルダにID・パスワードをかける（いわゆるベーシック認証）
• IPアクセス制限：アクセス元のIPアドレスで制御する

例えば、

• 開発中のテストサイト
• 一部のクライアントだけに見せるページ
• 社内だけで使うツール用画面

などは、ディレクトリアクセス制限をかけておくと安心です。

機能	認証の方法	主な用途	注意点
ディレクトリアクセス制限	IDとパスワード	テスト環境、限定公開ページ	パスワード管理をしっかり行う
IPアクセス制限	接続元のIPアドレス	社内専用画面、管理画面の保護	自分のIPが変わると入れなくなることがある

私も一度、IPアクセス制限を厳しくしすぎて、自分で管理画面に入れなくなったことがあります。そのときは別回線経由でログインし直して救出できましたが、最初は「限定公開にしたいページはディレクトリアクセス制限」くらいから始めると安全です。

WordPressセキュリティ機能でログインとコメントを守る

ログイン制限で総当たり攻撃をブロック

WordPressセキュリティの中でも、まずONにしておきたいのが「ログイン制限」です。

設定イメージは次の通りです。

これをONにしておくと、短時間に何度もログインを試すようなアクセスを自動で制限してくれます。ユーザー名に「admin」を使わないこと、長くて推測されにくいパスワードにすることも、必ずセットでやっておきましょう。

コメント制限・海外アクセス制限でスパムと不審アクセスを減らす

同じ画面で設定できる「コメント制限」と「海外アクセス制限」も、かなり効果があります。

• コメント制限：海外からのコメントやトラックバックを制限し、スパムを減らす
• 海外アクセス制限：管理画面やAPIへの海外からのアクセスを制限

日本語圏向けのブログで、海外からのアクセスがほとんどない場合は、海外アクセス制限をONにしておくと、不審なアクセスをかなり減らせます。

一方、海外ユーザーも多くアクセスするサイトの場合は、全部をOFFにするのではなく、「管理画面だけ制限」「APIだけ制限」など、運用に合わせて細かく調整するのがおすすめです。

サーバーのセキュリティ機能とプラグインの役割分担

WordPressのセキュリティ対策というと、「いろいろなセキュリティプラグインを片っ端から入れる」という運用になりがちです。

ただ、プラグインを増やしすぎると、サイトが重くなったり、プラグイン自体の脆弱性が増えたりと、別のリスクも出てきます。

ConoHa WINGのセキュリティ機能と、WordPress側のプラグインを整理すると、次のような分担になります。

守りたいもの	ConoHa WING側	WordPress側
ログイン攻撃対策	WordPressセキュリティのログイン制限	reCAPTCHA、2段階認証プラグイン
脆弱性攻撃対策	WAF、ネットde診断	テーマ・プラグインの更新、セキュリティプラグイン
コメントスパム	コメント制限	Akismetなどスパム対策プラグイン
バックアップ	自動バックアップ	外部クラウドへの追加バックアップ

私のおすすめは、「まずはConoHa WING側のセキュリティを最大限活かし、足りない部分だけプラグインで補う」スタイルです。そのほうがシンプルで、トラブル時の原因切り分けもしやすくなります。

メールセキュリティと送信ドメイン認証（SPF・DKIM・DMARC）

迷惑メールフィルターとウイルスチェックの基本

まずは、受信側を守るためのメールセキュリティ機能です。

• 迷惑メールフィルター：ブラックリスト・ホワイトリストで送信元を制御
• ウイルスチェック：ウイルス付きメールを自動でブロック
• DMARC関連の設定：なりすまし検知時の扱いを決める

迷惑メールフィルターでは、

• ブラックリスト：明らかに迷惑メールとわかっている送り主
• ホワイトリスト：絶対に弾きたくない送り主（自分の別アドレスなど）

を登録しておくことで、受信の精度を上げられます。ウイルスチェックは、自分が加害者にならないためにも、基本的にON一択です。

SPF・DKIM・DMARCとは？ConoHa WINGでの扱い

次に、送信側を守るための仕組みがSPF・DKIM・DMARCです。

ConoHa WINGのメール機能では、SPFとDKIMが標準で設定されていて、コントロールパネルからDMARC認証設定も行えます。

項目	役割	ConoHa WINGでの扱い
SPF	送信元サーバーの正当性確認	標準で設定済み
DKIM	メール本文が改ざんされていないか確認	標準で設定済み
DMARC	SPF/DKIM結果にもとづくポリシー	コントロールパネルから設定可能

お問い合わせやメルマガが相手の迷惑メールフォルダに入ってしまうと、どれだけ配信しても読んでもらえません。独自ドメインのメールアドレスを使い、これらの送信ドメイン認証をきちんと効かせておくことが大事です。

お問い合わせフォーム・メルマガ運用時の注意点

実際に運用していると、メール周りでこんなトラブルが起こりがちです。

• フォームプラグインの送信元アドレスがフリーメールのまま
• WordPressがPHPの標準メール関数で送信していて、迷惑メール判定されやすい
• メルマガの配信頻度や文面が原因でスパム扱いされる

ConoHa WINGのメールセキュリティを活かすなら、

• 送信元メールアドレスは「info@自分のドメイン」のような独自ドメインにする
• SMTP送信プラグインを使い、認証付きでメールを送る
• テスト送信を何度か行い、Gmailなどで迷惑メールに入らないか確かめる

といった基本を押さえておくと、かなりトラブルを減らせます。

ネットde診断とバックアップで「もしも」に備える

ネットde診断で定期的に健康診断をする

ネットde診断は、GMOグループの脆弱性診断サービスを使った機能で、ConoHa WINGの契約者であれば、手軽にWebサイトの脆弱性診断ができます。

手順のイメージは次の通りです。

• コントロールパネル → 「WING」 → 「サイト管理」
• 左メニューの「サイトセキュリティ」を開く
• 「ネットde診断」タブを開き、対象ドメインを選ぶ
• 画面から診断を実行し、メールで届く結果を確認

契約中であれば、無料診断プランの範囲で手動診断を実行できるので、「ときどきボタンを押して健康診断をする」感覚で使えます。

私も、ネットde診断をきっかけに「古いプラグインが残っている」「不要なファイルが放置されている」といった指摘を受けて、すぐ修正したことがあります。自分では気づきにくい部分を教えてくれるので、年に数回だけでも十分価値があります。

自動バックアップと復元の考え方

どれだけConoHa WINGのセキュリティ設定を固めても、人間のミスまではゼロにできません。

• プラグインを更新したら画面が真っ白になった
• 不要なファイルを消したつもりが必要なものまで削除してしまった
• 不正アクセスに気づくのが遅れた

こういった場面で頼りになるのが、自動バックアップ機能です。

ConoHa WINGでは、Webサイト・メール・データベースのデータを1日1回自動でバックアップし、過去14日分を保存してくれます。管理画面の「サーバー管理」→「自動バックアップ」から、任意の日付のデータをリストアできます。

ポイントは次の2つです。

• Web・メール・DBをそれぞれ個別にリストアできるので、必要な範囲だけ戻せる
• リストアすると、指定した日付のデータがサーバー内の専用フォルダに展開されるので、そこから必要なファイルだけを復旧に使う

私は、大きなテーマ変更やプラグインの入れ替えをするときには、事前に自動バックアップの状況をチェックし、「直近のバックアップが正常に取れているか」を確認してから作業するようにしています。

私がやらかした失敗談と学んだこと

少し情けない話ですが、私自身もいくつか痛い目を見て、やっと「バックアップと診断の大事さ」を実感しました。

• デザイン調整のつもりでテーマファイルを直接編集し、元に戻せなくなった
• 広告タグを差し替えたあと、一部ページだけWAFにひっかかり、気づくまで表示エラーが続いていた

この経験から学んだのは、「大きな変更をする前にバックアップを確認する」「変更後はWAFログとサイト表示をざっとチェックする」という、たった2つの習慣です。

数分の手間で、後から何時間も復旧に追われる事態を避けられるので、ぜひ同じ失敗をしないように意識してみてください。

サイトのタイプ別・conoha wingのセキュリティおすすめ設定プリセット

個人ブログ・アフィリエイトサイト向け

趣味ブログやアフィリエイトサイトなど、会員登録や決済機能がないサイトの場合です。

• WAF：ON
• 無料独自SSL：ON（サイト全体を常時SSL化）
• WordPressセキュリティ：ログイン制限ON、海外アクセス制限は管理画面だけON
• 自動バックアップ：機能が有効になっているか確認
• ネットde診断：ときどき手動診断を実行

ここまでやっておけば、ConoHa WINGのセキュリティ機能を「基本的なライン」までは活かせていると言っていいと思います。

事業サイト・店舗サイト向け

会社や店舗の公式サイトなど、信頼性が特に重要なサイトの場合です。

• WAF：ON（ログもときどき確認）
• SSL：無料独自SSLに加え、必要に応じてオプション独自SSLも検討
• WordPressセキュリティ：ログイン制限・コメント制限・海外アクセス制限をすべてON
• メールセキュリティ：迷惑メールフィルターとウイルスチェックの設定を見直す
• SPF・DKIM・DMARC：きちんと有効になっているかテスト送信で確認
• ネットde診断：定期的に診断を実行し、指摘内容をチェック

お問い合わせフォームからの連絡が届かない、なりすましメールで信用を損なう、といったトラブルは事業に直結します。このあたりは少し時間をかけてでも整えておきたい部分です。

会員制サイト・ログイン機能付きサイト向け

オンラインサロンや会員サイト、会員限定コンテンツ配信など、ログイン機能を持つサイトでは、セキュリティの重要度がさらに高くなります。

事業サイト向けの設定に加えて、次のような対策も検討しましょう。

• ログインURLを変更する（専用プラグインの利用など）
• 2段階認証を導入する
• ログイン試行回数の制限をやや厳しめに設定する
• 管理画面へのIPアクセス制限を検討する

また、会員の個人情報を扱う場合は、プライバシーポリシーや退会・削除の手順など、運用面のセキュリティもセットで見直しておくことをおすすめします。

よくある質問（FAQ）

Q1. 個人ブログでもWAFやネットde診断は必要ですか？

A. 私の考えでは、「個人ブログでもWAFはほぼ必須、ネットde診断はできれば使いたい」です。

WordPressを使う時点で、自分が小さなブログ運営者であっても、攻撃の対象になり得ます。ConoHa WINGのWAFはボタン1つでONにできるので、迷わず有効化しておくのがおすすめです。

ネットde診断は、月に何回も回す必要はありませんが、プラグインやテーマをよく触る人ほどメリットがあります。大きな変更をしたあとに一度診断しておくだけでも安心感が違います。

Q2. SSLは無料独自SSLだけで大丈夫でしょうか？

A. 多くのケースでは無料独自SSLで問題ありません。

ConoHa WINGの無料独自SSLでも、通信の暗号化という意味ではしっかり役割を果たしてくれます。個人ブログやアフィリエイトサイトであれば、まずは無料独自SSLで十分です。

一方で、企業の公式サイトや採用サイトなど、ブランドイメージや信頼感が特に大事なサイトでは、オプション独自SSLも選択肢に入れておくとよいと思います。

Q3. お問い合わせメールが迷惑メールに入ってしまいます。何を確認すればいいですか？

A. まずは、送信元メールアドレスと、SPF・DKIM・DMARCの設定を確認しましょう。

送信元メールアドレスがフリーメールのままだと、迷惑メールに入りやすくなります。独自ドメインのアドレスを使い、ConoHa WING側でSPF・DKIM・DMARCがきちんと設定されているかをコントロールパネルで確認してみてください。

加えて、WordPress側でSMTP送信プラグインを使い、認証付きでメールを送るようにしておくと、迷惑メール判定を避けやすくなります。

まとめ：【conoha wing】セキュリティで今日からできる一歩

この記事のポイントを振り返ります

そして、今日からできる最初の一歩は、とてもシンプルです。

• ConoHa WINGのコントロールパネルにログインする
• 「サイト管理」→「サイトセキュリティ」の各タブ（WAF・SSL・WordPressセキュリティ）を開き、ONにできるものはすべてONにする
• 自動バックアップの設定を確認し、そのうえでネットde診断を1回実行してみる

この3つだけでも、あなたのサイトのセキュリティレベルは一段上がります。難しい設定を完璧にこなそうとするのではなく、「少しずつ触って慣れていく」つもりで、ConoHa WINGのセキュリティを育てていきましょう。