ホスティング・外部サービスのセキュリティ機能の利用｜Webサイトへの不正通信を抑制する

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

Webサイトの外側でのセキュリティ対策

Webサイトへの不正な通信は、サイト内部だけで対処するものではない。ホスティングや外部サービスにも、通信を検査・制限するセキュリティ機能が用意されている。

対象はWordPressに限らず、EC-CUBE、concrete CMS、Drupal、Joomla!、CS-Cart、Movable Typeなどを利用するWebサイトにも共通する。また、ホームページ・ビルダー、BiNDup、Dreamweaverなどで作成した静的サイトでも、Webサーバーへの通信を制御する対策は有効である。

インターネット
      ↓
外部サービス
      ↓
ホスティング
      ↓
Webサイト

ホスティングと外部サービスの特徴

ホスティングでは、契約にWAFなどのセキュリティ機能が含まれていることがある。新たな契約やアカウントを増やさず、管理画面から比較的簡単に導入できる点が利点となる。単独では有料となる種類の機能が、契約者向けに追加料金なしで提供されることもある。

一方、外部サービスは多機能なものが多く、より細かな条件を設定できる場合がある。その分、新しいアカウントや設定が管理対象に加わり、DNSなど通信経路に関わる設定が必要になることもある。

同じ「WAF」「Bot対策」と呼ばれる機能でも、設定項目や制限、料金はサービスによって異なる。名称だけで比較せず、自分の環境で扱いやすいものを選ぶ。

Webサイトの外側で利用できる主な機能

WAF

HTTP/HTTPS通信を検査し、SQLインジェクションやクロスサイトスクリプティングなどの攻撃を遮断する。CMS専用の仕組みではないため、静的サイトにも適用できる。

参照：WAFとは

Bot対策

自動化されたアクセスを判定し、悪質なBotからの通信を制限する。

検索エンジンなど正当なBotも存在するため、すべてのBotを一律に遮断するのではなく、サービス側の判定や設定に応じて処理される。

アクセス制御

IPアドレス、地域、URLなどを条件としてアクセスを制御する。

一般公開が不要な管理画面などでは、アクセスできる範囲そのものを狭める用途にも向いている。

レート制限

一定時間内のリクエスト回数などを基準として通信を制限する。

ログイン試行、フォーム送信、APIへの連続アクセスなど、短時間に繰り返される通信への対策として利用される。このほか、DDoS保護やログ分析などもあり、利用できる機能や範囲はサービスごとに異なる。

一例：XServerとCloudflare

ホスティング側の例としてXServer、外部サービス側の例としてCloudflareを比較する。両者には共通する機能があるものの、提供方法や設定できる範囲は同じではない。

機能XServerCloudflare
WAF○○
Bot対策△ 個別機能で対応○
アクセス制御○○
レート制限△ 個別機能で対応○
DDoS対策○○
ログ・分析○○

※2026年8月に確認
※○は同等の機能を意味しない。設定範囲、利用条件、料金、確認できる情報などには違いがある。

まずホスティングの機能から検討

小規模環境では、まず契約中のホスティングで利用できる機能を確認すると、管理対象を増やさず対策を始めやすい。

ホスティングの機能を確認
        ↓
必要な機能を利用
        ↓
不足する機能があるか
    ┌───┴───┐
   ない      ある
    ↓         ↓
 そのまま   外部サービスで補完

必要な機能がホスティング側で揃えば、新しいサービスを追加する必要はない。不足する機能や、より細かな制御が必要な部分だけ外部サービスで補えば、構成も管理しやすくなる。

同一機能を重ねる場合は役割を決める

ホスティングと外部サービスの双方で、WAFなど同種の機能を利用する構成も可能である。

ただし、重ねれば無条件に安全性が高まるわけではなく、正常な通信を遮断した際の原因特定も複雑になるため、併用するならそれぞれの役割を明確にしておく。

有効化した後は動作を確認する

WAFやBot対策では、正常な通信が誤って制限されることもある。

導入後はページの表示だけでなく、ログイン、フォーム送信、検索、API連携など、そのサイトで使用している機能を実際に操作する。静的サイトでも外部フォームなどを組み込んでいれば確認対象となる。

セキュリティ機能の設定変更と、その後の動作確認を一組として扱う。

大量アクセスへの対策は分けて考える

Bot対策やレート制限は大量アクセス対策にも関係するが、サイトの過負荷は正常なアクセス集中でも発生する。

キャッシュ、CDN、サーバーリソースなどを含めた対策は別のユニットで扱う。

参照：Webサイトへの大量アクセスに備える

まとめ

Webサイトへの不正通信は、ホスティングや外部サービスのセキュリティ機能でも制御できる。この考え方はCMSだけでなく、静的サイトにも共通する。

小規模環境では、まず契約中のホスティングに備わる機能を確認し、不足する部分を外部サービスで補う構成が管理しやすい。導入後は実際のサイトを操作し、正常な通信に影響していないことまで確認する。