Web制作会社の不正アクセス対策とパッチ管理の地図【2026年版】──不正ログイン・PHPのパッチ・SQLインジェクション・脆弱性診断を、納品と保守の標準にする

この記事は、Web制作会社が、顧客サイトへの不正アクセスを防ぎ、パッチを当て続け、安全な作り方を社内の標準にするときに読む記事を並べた地図です。

「担当者の腕」に頼ったセキュリティは、続かない

管理画面への不正ログイン、PHPやライブラリのパッチ、納品したコードの作り方。
どれも、詳しい担当者が一人で抱えていると、その人が忙しい月や辞めた日に、穴が開きます。

しかも顧客から見えるのは、事故が起きたかどうかだけです。
何をしていたのかを説明できなければ、守った仕事は価格の根拠になりません。

セキュリティ対策の標準化とは、不正アクセスの防御、パッチの適用、安全な作り方、点検を、担当者の腕ではなく社内の手順と台帳と記録にすることで、品質と価格の根拠を同時につくることである

黒字化の外科医です。第2弾として、不正アクセスとパッチと作り方を、五つの入口に分けて並べました。
法律や契約に触れる記事では、考え方の入口だけを置いています。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

入口1：不正アクセスを防ぎ、起きたら正しく動く

対策の全体像、届出と相談先、不正ログインとWordPressのログイン対策、アクセスログの見方、調査と報告のキットです。

▶ 不正アクセス対策、制作会社は顧客サイトを「鍵・更新・権限・監視・記録」で守る──保守の全体像と、顧客に説明できる点検表

▶ 不正アクセスの被害、届出と相談はどこへ──警察・IPA・JPCERT/CCの使い分け、不正アクセス禁止法の要点、制作会社の役割

▶ 不正ログイン対策、管理画面は「パスワードを強く」だけでは守れない──総当たり・リスト型攻撃・退職者のIDに、制限・二要素・棚卸しの3つで備える

▶ WordPress ログイン 対策は二段階認証を「入れて終わり」にしない──管理者の絞り込み、試行の制限、顧客への説明、ロックアウト時の解除手順

▶ アクセスログの解析で不正の兆候を見る──制作会社の月次確認、見る項目6つ、保存期間の決め方、保守報告への組み込み方

▶ 不正アクセス調査・報告キット──ログ保全の手順、調査会社への依頼書、時系列シート、顧客への報告書、再発防止策の型とAIプロンプト

入口2：PHPとライブラリのパッチを当て続ける

同じ系列のPHPのパッチ、Composerの脆弱性管理、Laravelの更新、EOLの台帳、本番反映の手順、パッチ管理台帳のキットです。

▶ PHPのパッチは「8.3のまま、末尾の数字を上げる」更新──同じ系列のセキュリティ修正の当て方と頻度、レンタルサーバーとVPSで違う責任の線

▶ Composerの脆弱性管理、納品時のvendorのまま止めない──composer auditの位置づけ、lockファイル、更新の方針

▶ Laravelのセキュリティ更新は「納品後に誰がやるか」から決める──公式のサポート期間、更新の2つの種類、契約で決める担当と費用

▶ EOLのソフトウェア管理、PHPだけ見ていないか──PHP・DB・OS・CMS・ライブラリのサポート終了を棚卸しし、1枚の台帳で追う

▶ パッチ適用の手順を「本番でそのまま更新」で済ませない──検証環境、バックアップ、戻し方、顧客への告知までの本番反映フロー

▶ パッチ管理台帳のテンプレート、制作会社の保守キット──列設計、月次運用表、月次報告の型、緊急パッチの判断表、告知文例、AIプロンプト

入口3：安全な作り方を、社内の標準にする

SQLインジェクション、XSS、CSRF、ファイルアップロード、セキュリティヘッダー、納品前のチェックリストのキットです。

▶ SQLインジェクション対策を「担当者の腕」に任せない制作会社へ──プレースホルダを社内標準にし、レビューで確かめ、顧客に説明できる品質に変える

▶ XSS対策を「入力チェックをしているから大丈夫」で済ませていないか──出力時のエスケープを社内標準にし、CMS改修と外部タグまで含めて説明できる制作会社になる

▶ CSRF対策を「フレームワークが勝手にやってくれる」で止めない──トークンの標準化、重要な操作の洗い出し、管理画面まで含めたレビューと顧客への説明の型

▶ ファイルアップロードの脆弱性は「受け付ける形式」より「置き場所」で決まる──拡張子の許可リスト、名前の付け替え、公開領域の外への保存を社内標準にする設計の型

▶ セキュリティヘッダーを「診断ツールの点数」のために入れると、サイトが崩れる──主なヘッダーの意味、外部タグと表示崩れを避ける導入の順番、顧客への説明

▶ 納品前のセキュリティチェックリスト、制作会社の標準化キット──確認項目表、レビューの手順、顧客向け「安全性の説明書」、AIレビュー用プロンプト

入口4：診断とサーバーとインフラ

脆弱性診断の費用と発注、ペネトレーションテストとの違い、サーバー設定、CDN・WAFの導入、DDoS対策、年次の点検です。

▶ 脆弱性診断の費用は「範囲・画面数・手法」で決まる──相見積もりの金額だけで選ばないための発注のしかたと、比べ方の表

▶ ペネトレーションテストと脆弱性診断の違いと、自社で受けるか外注するか──情報セキュリティサービス基準で読む判断の表と説明の型

▶ サーバー設定のセキュリティを「担当者の頭の中」に置かない──VPS・クラウドを納品する制作会社のSSH・ポート・権限・更新と引き渡し記録

▶ CDN・WAFの導入で、顧客サイトを止めない注意点──DNSの切り替え、キャッシュの事故、誤検知、契約名義の4つを、作業の前に決めておく

▶ DDoS対策を、中小企業のサイトで「全部防ぎます」と言わない──NISCの注意喚起で引く現実的な線と、止まったときの備え

▶ 年次のセキュリティ点検を、保守の定例にする──棚卸し・診断・設定の見直し・報告の4工程と、1サイトあたりの工数の計算、点検報告書の型

入口5：社内の人とAIと秘密情報

スタッフの教育、AIが書いたコードのレビュー、APIキーなど秘密情報の漏えい対策です。

▶ セキュリティ教育を社員に続ける制作会社の型──年1回の研修をやめ、12か月の計画、IPAの無料教材、確認テストで「聞いただけ」を終わらせる

▶ AI生成コードのセキュリティ、「動いたから納品」をやめる社内ルール──人が確かめる5つの観点、実在しないパッケージの確認、記録の型

▶ APIキーの漏洩対策、制作会社は「書かない仕組み」と「漏れたら止める初動」──Git・.envの置き方、シークレットスキャン、鍵の無効化と再発行

第1弾：セキュリティ保守と個人情報

PHPのバージョンアップ、WordPressの改ざん対応、ウェブスキミングと漏えい報告、セキュリティ保守の商品化は、第1弾の地図にまとめています。

▶ Web制作会社のセキュリティ保守と個人情報の地図【2026年版】──PHP・WordPress・EC・フォームの脆弱性対応を、無償の後始末から契約された保守の売上に変える

最後に

攻撃の手口は、これからも変わり続けます。

けれど、防御とパッチと作り方を、担当者の腕ではなく社内の手順と台帳と記録に変えた制作会社だけが、守った仕事を価格の根拠として説明し続けられるのです。

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #制作会社経営 #中小企業 #セキュリティ #不正アクセス #PHP #脆弱性対策 #WordPress #保守運用 #経営改善