Webサイトのセキュリティチェックリスト20項目｜担当者が自分で確認できる方法と頻度（IPAの20ヶ条と整合）
「うちのサイトは安全なのか」と聞かれても、何を見れば答えられるのかわからない。制作会社に任せたままで、契約の中身も覚えていない。2026年10月にPHPの重大な脆弱性（PHP2Shell）が公表され、社内でこうした確認を求められた担当者の方も多いのではないでしょうか。
この記事では、専門家でなくても自分で確認できるWebサイトのセキュリティ項目を、6つの分類・20項目のチェックリストにまとめました。項目ごとに「確認すること・確認方法・頻度」を表にしています。内容は、IPA（情報処理推進機構）の「安全なウェブサイトの運用管理に向けての20ヶ条」「安全なウェブサイトの作り方」「中小企業の情報セキュリティ対策ガイドライン」と整合させています。情報は2026年10月23日時点のものです。
- 担当者が自分で確認できる項目は多くあります。ソフトウェアの更新、サーバー・PHP、アカウント、通信と設定、バックアップと監視、体制と契約の6分類で見ると漏れが減ります。
- 特に重要なのは、使っているソフトウェアとPHPがサポート中か、不要なアカウントやサイトが残っていないか、バックアップから戻せるかの3点です。
- 技術的な確認ができなくても、「誰が、いつ、何を更新するか」が決まっているかは確認できます。ここがあいまいなサイトほど放置されがちです。
- チェックリストは、脆弱性診断の代わりにはなりません。まず現状を把握し、専門家に相談すべき点を見つけるために使いましょう。
目次
Webサイトのセキュリティチェックリストとは
Webサイトのセキュリティチェックリストとは、サイトが攻撃されにくい状態に保たれているかを、決まった項目で定期的に確かめるための一覧です。プログラムの中身まで調べる「脆弱性診断」とは違い、運用の状態（更新されているか、不要なものが残っていないか、体制があるか）を確認するのが目的です。
IPAは「安全なウェブサイトの運用管理に向けての20ヶ条」で、ウェブアプリケーション、ウェブサーバ、ネットワーク、その他（クラウド利用時の責任範囲、定期的な検査）の4分野・20項目を示しています。また、2026年3月に公開された「中小企業の情報セキュリティ対策ガイドライン」第4.0版では、付録「5分でできる！情報セキュリティ自社診断」に「ウェブサイトを安全に運用する」という項目が新たに加わりました。この記事のチェックリストは、これらを担当者が自分で確認できる形に置き換えたものです。
ソフトウェアの更新とサーバー・PHP
攻撃の多くは、公表済みの脆弱性が残ったままのソフトウェアを狙います。最初に確認すべき分類です。
ソフトウェアの更新
分類1：ソフトウェアの更新（4項目）
| No. | 確認すること | 確認方法 | 頻度 |
|---|---|---|---|
| 1 | CMS（WordPressなど）の本体が最新か | 管理画面の更新画面でバージョンと更新通知を見る | 毎月 |
| 2 | プラグイン・テーマ・拡張機能が最新で、開発が続いているか | 管理画面の一覧で更新通知と最終更新日を見る | 毎月 |
| 3 | 使っていないプラグイン・テーマ・ページ・サイトが残っていないか | 一覧を見て、停止中のものや古いキャンペーンページを洗い出す | 四半期ごと |
| 4 | 重要な脆弱性の情報が届く仕組みがあるか | IPA・JPCERT/CCの注意喚起、CMSやサーバー会社の告知を誰が見ているか確認する | 常時（体制を年1回見直す） |
関連記事業務システムのサポート期限カレンダー｜OS・Office・DB・言語の終了日一覧【毎月更新】
サーバー・PHP
分類2：サーバー・PHP（3項目）
| No. | 確認すること | 確認方法 | 頻度 |
|---|---|---|---|
| 5 | PHPがサポート中のバージョンで、修正版になっているか | サーバーの管理画面、WordPressなら「サイトヘルス」→「情報」→「サーバー」。php.net のサポート状況と照らし合わせる | 毎月 |
| 6 | OS・Webサーバー・データベースがサポート中か（自社管理のサーバーの場合） | 管理している担当者・委託先に、バージョンとサポート期限を一覧でもらう | 半年ごと |
| 7 | エラー画面にプログラムの詳細やバージョンが表示されていないか | 存在しないURLを開き、エラー画面に内部の情報が出ていないか見る | 半年ごと |
PHPは、2026年10月21日に公表されたPHP2Shell（CVE-2026-109618・109619）の修正版が 8.5.12・8.4.27・8.3.36・8.2.35 です。PHP 8.2は2026年12月31日でサポートが終わり、8.1以前には公式の修正版がありません。CMSやアプリケーションを更新しても、PHPの脆弱性は直らない点に注意してください。
関連記事PHPのバージョン確認方法｜WordPress・サーバー管理画面・コマンドでの調べ方と結果の読み方
関連記事サポート終了（EOL）ソフトウェアを使い続けるリスクと対策｜PHP2Shellの事例・棚卸し・延命策・移行計画
アカウント・ログインと、通信・設定
アカウント・ログイン
分類3：アカウント・ログイン（4項目）
| No. | 確認すること | 確認方法 | 頻度 |
|---|---|---|---|
| 8 | 退職者・委託終了先・用途不明のアカウントが残っていないか | CMS、サーバー、ドメイン管理、FTPなどのアカウント一覧を見る | 四半期ごと・人の異動時 |
| 9 | 推測されやすいパスワードや、共有のアカウントを使っていないか | 「admin」などの初期名、社名や電話番号のパスワード、複数人での使い回しがないか確認する | 四半期ごと |
| 10 | 管理画面のログインに二段階認証を使っているか | 管理者アカウントごとに設定状況を確認する | 四半期ごと |
| 11 | 管理画面に誰でもアクセスできる状態になっていないか | 社外のネットワーク（スマホの回線など）から管理画面のURLを開いてみる。IP制限や追加の認証があるか委託先に確認する | 半年ごと |
通信・設定（HTTPS・セキュリティヘッダー）
分類4：通信・設定（4項目）
| No. | 確認すること | 確認方法 | 頻度 |
|---|---|---|---|
| 12 | すべてのページ、特にフォームと管理画面がHTTPSになっているか | ブラウザのアドレスバーで鍵マークと証明書の期限を見る。http:// で開いて https:// に転送されるか試す | 毎月 |
| 13 | セキュリティヘッダーが設定されているか | 当社の簡易診断などで、HSTS・X-Frame-Options・X-Content-Type-Options・CSPの有無を見る | 半年ごと・サイト改修時 |
| 14 | 公開してはいけないファイルが見える場所にないか | バックアップファイル、設定ファイル、phpinfo、テスト用ページ、名簿などが公開領域にないか委託先と確認する | 半年ごと |
| 15 | ソフトウェアのバージョンを必要以上に表示していないか | ページのソースやレスポンスに、PHPやCMSのバージョンが出ていないか簡易診断で見る | 半年ごと |
セキュリティヘッダーとは、ブラウザに「このサイトをどう扱うか」を指示する設定です。たとえば HSTS（Strict-Transport-Security）は以後HTTPSでしか接続しないよう、X-Frame-Options は他のサイトに枠で埋め込まれないよう、X-Content-Type-Options（nosniff）はファイルの種類を勝手に推測しないよう、ブラウザに伝えます。CSP（Content-Security-Policy）は読み込んでよいスクリプトなどを指定する仕組みで、埋め込みの制限もより細かく設定できます。IPAの「安全なウェブサイトの作り方」では、他サイトに埋め込んで誤操作させる「クリックジャッキング」も対策すべき脆弱性の1つとして取り上げています。
関連記事セキュリティヘッダーとは？HSTS・CSPなどの役割と設定例｜Apache・nginx・WordPress
バックアップ・監視と、体制・契約
バックアップ・監視
分類5：バックアップ・監視（3項目）
| No. | 確認すること | 確認方法 | 頻度 |
|---|---|---|---|
| 16 | データとファイルのバックアップが、複数の世代・別の場所に取れているか | 最新のバックアップの日付と保管場所を確認する。サーバーと同じ場所だけに置いていないか見る | 毎月 |
| 17 | バックアップから実際に戻せるか | 検証用の環境に復元し、表示されるか確かめる（委託先に実施してもらってもよい） | 半年〜1年ごと |
| 18 | 改ざんや異常に気づける仕組みがあるか | 主要ページの目視、Search Console の警告、ログを誰かが見ているか、WAFや改ざん検知を使っているかを確認する | 毎月 |
関連記事WAFとは？ファイアウォール・IPSとの違い、種類と守れないもの｜中小企業のWebサイト・業務システムに必要か
関連記事Webサイトの改ざん・不正アクセスの確認方法と初動対応｜症状・調べ方・個人情報保護委員会への報告と相談窓口
体制・契約
分類6：体制・契約（2項目）
| No. | 確認すること | 確認方法 | 頻度 |
|---|---|---|---|
| 19 | 誰が・いつ・何を更新するかが決まっているか。サーバー会社や委託先との責任範囲がわかっているか | 保守契約書・サーバーの利用規約を読み、CMS・PHP・サーバーの更新がそれぞれ誰の担当かを表にする | 年1回・契約更新時 |
| 20 | 問題が起きたときの連絡先と手順、定期的な点検・診断の予定があるか | 委託先・サーバー会社・社内の連絡先一覧と、改ざん時の初動手順があるか確認する | 年1回 |
体制・契約の項目は、技術がわからなくても確認できます。「制作会社に任せているから大丈夫」と思っていても、契約が「サイトの公開まで」で、その後の更新が含まれていないことはよくあります。
簡易セキュリティ診断の使い方
当社では、このチェックリストの一部をすぐに確かめられる簡易セキュリティ診断を無料で公開しています。登録は不要です。
- 10問のセルフチェックに答える運用の状態を10の質問で確認します。回答はブラウザの中で集計され、送信されません。答えに迷った質問が、社内や委託先に確認すべき点です
- サイトのURLを入力するトップページを1回読み込み、外から見える情報を確認します。HTTPSとhttpからの転送、セキュリティヘッダー（HSTS・X-Content-Type-Options・X-Frame-Options・CSP）、PHPやWebサーバーのバージョン表示、WordPressのバージョン表示が対象です。入力したURLは保存しません
- 結果をチェックリストと照らし合わせる主にNo.5・12・13・15の確認に使えます。課題が出た項目は、この記事の表の「確認方法」に沿って、社内や委託先と確認を進めます
- 結果を委託先に共有する結果の画面をそのまま委託先やサーバー会社に見せると、何を確認したいかが伝わりやすくなります
10の質問と、URLから公開されている情報（HTTPS、セキュリティ設定、PHPのバージョン表示など）を確認できる簡易セキュリティ診断で、まずは自社サイトの現状を確認してみてください。
チェックで問題が見つかったら
すべての項目に一度に対応する必要はありません。次の順で進めると、効果の大きい対策から手を付けられます。
- 今すぐ直すものを決めるサポートが終わったソフトウェアやPHP、未適用の重要な更新、退職者のアカウント、公開してはいけないファイルは、最優先で対応します
- 誰が対応するかを確認するNo.19で整理した責任範囲に沿って、社内・委託先・サーバー会社のどこに依頼するかを決めます
- 改ざんの痕跡がないかも見る古いソフトウェアが長く放置されていた場合は、すでに侵害されていないかの確認も必要です
- 点検を定例にする毎月・四半期・年1回の項目を予定表に入れ、結果を記録します。担当者が替わっても続けられる形にします
関連記事企業サイトのWordPressセキュリティ対策｜被害の原因と対策の優先順位、PHP更新・バックアップ・月次の保守チェック表
よくある質問
- このチェックリストをすべて満たせば安全ですか？
- 安全だとは言い切れません。このチェックリストは、運用の基本ができているかを確かめるためのものです。プログラムそのものの脆弱性は、専門の脆弱性診断でなければ見つけにくいため、扱う情報が重要なサイトは診断もあわせて検討してください。
- どのくらいの頻度で確認すればよいですか？
- 更新とバックアップ、HTTPSは毎月、アカウントは四半期ごと、設定や公開ファイルは半年ごと、体制と契約は年1回が目安です。重大な脆弱性が公表されたときは、予定に関係なくすぐに更新の状況を確認します。
- 制作会社に任せていても、自社で確認する必要がありますか？
- あります。サイトの運営責任は、委託していても運営者にあります。技術的な作業は任せても、契約の範囲と実施の結果は自社で把握しておきましょう。報告をもらう項目を、この表をもとに決めるのも1つの方法です。
- 簡易セキュリティ診断で自社以外のサイトを調べてもよいですか？
- 簡易診断は公開されている情報を確認するものですが、ご利用は自社や、管理を任されているサイトに限ってください。他社のサイトの状態が気になる場合は、そのサイトの運営者に伝えるのが適切です。
- IPAの資料はどれから読めばよいですか？
- 運営者の方は、まず「中小企業の情報セキュリティ対策ガイドライン」の付録「5分でできる！情報セキュリティ自社診断」で会社全体の状況を確認し、Webサイトについては「安全なウェブサイトの運用管理に向けての20ヶ条」を見るのがおすすめです。「安全なウェブサイトの作り方」は、主に開発する側の資料です。
まとめ
Webサイトのセキュリティは、専門家でなくても確認できる項目が多くあります。ソフトウェアの更新、サーバー・PHP、アカウント・ログイン、通信・設定、バックアップ・監視、体制・契約の6分類20項目を、決まった頻度で点検しましょう。特に、PHPやCMSがサポート中か、不要なアカウントやサイトが残っていないか、バックアップから戻せるか、誰が更新するかが決まっているかは、今日からでも確かめられます。まずは簡易セキュリティ診断で現状を把握し、課題が見つかった項目から順に対応してください。
参考：IPA「安全なウェブサイトの運用管理に向けての20ヶ条 〜セキュリティ対策のチェックポイント〜」（2019年3月6日更新）、IPA「安全なウェブサイトの作り方」改訂第7版（2021年3月31日 第4刷）、IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日）と付録3「5分でできる！情報セキュリティ自社診断」、PHP公式「Supported Versions」「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）、MDN Web Docs「Strict-Transport-Security」「X-Frame-Options」「X-Content-Type-Options」。
この記事に関連するサービス
システム保守・運用
業務システムやWebシステムの監視、障害対応、セキュリティ更新、小さな修正を月額の定額制で行います。他社が開発したシステムも、引き継ぎ調査から対応します。 サービスの詳細を見る
