パスワード管理、顧客から預かるIDで事故を起こさない制作会社のルール──FTP・管理画面・サーバー・ドメインの受け取り、保管、返却と依頼文

この記事は、Web制作会社が顧客から預かるFTP・管理画面・サーバー・ドメインのID・パスワードの管理を、受け取りから返却まで社内ルールにする方法を扱います。

「FTPの情報、メールで送りますね」

案件の始まりに、顧客の担当者からメールが届きます。
本文には、サーバーのID、パスワード、FTPの接続先が、そのまま並んでいます。

そのメールは、社内のチャットに転送され、担当者のメモにも写されます。
1年後、担当者は退職し、メールボックスとメモだけが残ります。

誰も悪いことはしていません。
けれど、顧客の鍵の写しが、社内のあちこちに散らばっています。

預かりパスワードの管理とは、誰の鍵を、誰が、どこで、いつまで持つかを決め、記録に残すことである

黒字化の外科医です。顧客から預かるID・パスワードの扱いを、社内ルールと依頼文の形にして解剖します。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

ルールが必要な理由は、三つあります。

第一に、一か所の漏れが、すべての顧客に広がるから。
IPA「情報セキュリティ10大脅威 2026」組織編の2位は「サプライチェーンや委託先を狙った攻撃」です。多くの顧客の鍵を持つ制作会社は、まとめて狙う価値のある場所です。

第二に、受け渡しの経路に、写しが残るから。
メール、チャット、表計算のファイル。一度送られたパスワードは、送った側と受けた側の両方に残り続けます。

第三に、預かりに「終わり」がないから。
契約が終わっても、ログイン情報は社内に残りがちです。持ち続ける理由のない鍵は、漏れたときの責任だけが残ります。

今すぐ試せる：預かっているログイン情報を棚卸しするプロンプト

私はWeb制作会社の経営者です。顧客から預かっているID・パスワードの管理状況を点検してください。
（実際のIDやパスワードは入力しません。種類と保管場所だけを書きます）

【前提】
・保守中の顧客の数と、契約が終わった顧客の数：〔　〕
・預かっている種類（CMSの管理画面、FTP、サーバーの管理画面、ドメインの管理画面など）：〔　〕
・今の保管場所（メール、チャット、表計算ファイル、パスワード管理ツールなど）：〔　〕
・見られる人の範囲：〔　〕

1. 保管場所ごとに、漏れたときの影響の大きさを評価する。
2. 契約が終わった顧客の情報が残っていそうな場所を挙げる。
3. 受け取り・保管・共有・変更・返却の5つの段階で、社内ルールの案を作る。

預かりルール工場：受け取りから返却まで

5つの段階のルール

【受け取り】
・できる限り、制作会社専用のアカウントを顧客に発行してもらう
・顧客の担当者本人のIDとパスワードは、受け取らない
・やむを得ずパスワードを受け取るときは、IDとは別の経路で受け取る

【保管】
・保管場所は、多要素認証を設定したパスワード管理の仕組み1か所に決める
・メール本文、チャット、表計算ファイル、付箋には置かない
・顧客ごとに分け、見られるのは担当者と責任者だけにする

【共有】
・外注先には、案件の期間だけ、必要な範囲のアカウントを発行してもらう
・口頭やチャットでパスワードを読み上げない

【変更】
・担当者の退職、外注先との契約終了、漏えいの疑いがあったときに、顧客へ変更を依頼する

【返却】
・契約終了の日に、制作会社用のアカウントの削除を顧客に依頼する
・社内の保管場所から削除し、削除した日を記録する

パスワードそのものは、IPAが呼びかけるとおり、長く、複雑にし、使い回さないことが前提です。

顧客へのアカウント発行の依頼文

〇〇様

サイトの作業のため、管理画面とサーバーのログイン情報についてお願いがございます。

御社のご担当者様のIDをお借りするのではなく、弊社専用のアカウントを発行いただけますでしょうか。
作業の記録が分かれ、契約が終わる際にも、そのアカウントを削除するだけで済みます。

パスワードをお送りいただく場合は、IDとは別の方法（お電話など）でお知らせください。
メールの本文にIDとパスワードを並べてお送りいただくことは、お控えください。

契約終了時の通知文

本日をもって、弊社で保管していた御社サイトのログイン情報を削除しました。
弊社用に発行いただいたアカウントの削除、またはパスワードの変更をお願いいたします。

契約書・保守規約に足す一文（例）

受託者は、委託者から預かった認証情報を、本業務の目的の範囲でのみ使用し、業務の終了後は速やかに削除する。委託者は、業務の終了後、受託者用のアカウントの削除または認証情報の変更を行う。

条文の扱いは、契約全体との整合を含めて、専門家に確認してください。
預かっている情報の一覧を作る台帳の型は、こちらにあります。

▶ ドメイン・サーバーの管理台帳テンプレート、制作会社のアカウント管理キット──台帳の32項目、名義と権限の整理表、更新日のアラート設計、引き渡しチェックリスト、お客様への説明文、AIの点検プロンプト

構造的なリスク

逆説を指摘しておきます。

ルールを厳しくすると、顧客の手間が増えます。
「前の制作会社はメールで受け取ってくれた」と言われることもあります。

ここで顧客に合わせると、顧客の鍵を守る責任を、顧客の手間と引き換えに手放すことになります。
依頼文で「なぜそうするのか」を一度説明すれば、多くの顧客は応じてくれます。

よくあるQ&A

Q. 顧客が、自分のIDしか使えないサービスだと言う。

その場合は、受け取る経路を分け、作業が終わったらパスワードの変更をお願いしてください。変更をお願いした日を記録に残します。

Q. ドメインの管理画面も、制作会社が持っておくべきか？

名義と契約者は顧客にし、制作会社は必要なときだけ操作する形が安全です。ドメインの名義と更新の考え方は、ドメイン管理のトラブルで扱っています。

Q. パスワード管理のツールは、どれを選べばよいか？

特定のツールを推奨はしません。多要素認証を設定できること、顧客ごとに見られる人を分けられること、退職者の権限をすぐに外せることの3点で比べてください。

最後に

顧客のパスワードは、預かった瞬間から、制作会社の責任になります。

受け取り、保管、共有、変更、返却の5つを決めた会社だけが、顧客の鍵を安心して預かり続けられるのです。

自社の端末とアカウントの守り方は、こちらにまとめました。

▶ ランサムウェア対策、中小企業の制作会社は「自社が入口」になる前に──多要素認証、権限、退職者、端末の4点で、顧客サイトへの踏み台を断つ

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #パスワード管理 #アカウント管理 #セキュリティ対策 #保守契約 #情報漏えい #サーバー管理 #ドメイン管理 #制作会社経営 #中小企業