WAF導入を、制作会社は「全部のサイトに」と勧めない──WAFとは何かを一言で、勧める判断基準、誤検知でフォームが止まる事故の防ぎ方

この記事は、制作会社がお客様にWAF導入を勧めるときの、判断基準と注意点を扱います。

「WAF 導入」と調べると、製品やサービスの案内がたくさん出てきます。
けれど制作会社にとって大事なのは、どの製品かより、「どのサイトに、なぜ勧めるのか」を説明できることです。

「WAFを入れたら、問い合わせが届かなくなった」

「セキュリティのためにWAFを入れました」
翌週、お客様から連絡が来ます。「問い合わせフォームから送信できないと、お客さんに言われた」

調べると、フォームに入力された文章の一部が、攻撃の通信と判断されて止められていました。
WAFは、入れれば終わりの道具ではありません。

WAFとは、Webサイトへの通信の中身を検査し、脆弱性を悪用する攻撃を見つけて止めることで、被害を小さくする仕組みである

黒字化の外科医です。WAFを勧める判断と、導入の注意点を解剖します。

IPA（情報処理推進機構）の「Web Application Firewall 読本」は、WAFを、脆弱性を修正する根本的な対策ではなく、攻撃による影響を低減する対策と位置づけています。
この一点を、お客様に最初に伝えます。

勧め方に基準が必要な理由は、三つあります。

第一に、WAFは根本対策の代わりにはならないから。
同じ読本は、まず脆弱性を作り込まないこと、見つかったら修正することが重要で、それが難しい状況でWAFが有効な場合がある、と整理しています。更新や改修をしないための言い訳にWAFを使うと、守りがかえって弱くなります。

第二に、WAFには誤検知があるから。
読本では、誤検知によって利用者の正常な通信を遮断してしまう可能性に触れ、IPA自身の導入事例でも、まず影響の大きい攻撃の検出パターンだけを有効にした経緯が紹介されています。

第三に、費用に見合うかは、サイトごとに違うから。
読本は、導入と運用の費用の合計を、改修などの根本的な対策と比べて判断する考え方を示しています。全部のサイトに同じ答えはありません。

なお私は弁護士ではありません。契約の文言に触れる部分は実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

WAFを勧めるサイト、急がなくてよいサイト

勧める判断基準

• すぐには直せない古い仕組みが残っている（改修の予算や時期が先になる）
• ログイン、会員、決済、個人情報を扱うフォームがある
• 自社で中身を直せない部品（他社が作った機能など）を使っている
• 過去に改ざんや不正なアクセスを受けたことがある
• 止まったときの損失が大きい（売上や問い合わせがサイトに集中している）

急がなくてよいサイト

• 情報を載せているだけで、フォームやログインがない
• 更新と改修が、保守契約で確実に回っている
• 静的なページだけで構成されている

急がなくてよいサイトにも、勧めないとは言い切りません。
「いまは更新とバックアップを優先し、仕組みが変わったら見直します」と伝えます。

今すぐ試せる：WAFの要否を判定するプロンプト

私はWeb制作会社の経営者です。お客様のサイトにWAFを勧めるべきか、判断の材料を整理してください。

【サイトの情報】
・CMSと主な機能：〔例：WordPress、会員ログイン、問い合わせフォーム〕
・個人情報や決済の扱い：〔あり／なし、内容〕
・すぐに改修できない部分：〔記載〕
・過去の被害や不審なアクセス：〔記載〕
・サイトが止まったときの影響：〔例：問い合わせが月〇件止まる〕
・保守契約の内容：〔記載〕

1. WAFを勧める理由と、急がなくてよい理由を、それぞれ挙げる。
2. WAFより先にやるべき根本的な対策（更新・改修）を挙げる。
3. 導入する場合に、誤検知が起きやすい箇所（フォーム、管理画面など）を挙げる。
4. お客様への説明文を、専門用語を使わずに5行で書く。

「WAFで安全になる」「攻撃を完全に防ぐ」といった表現は使わないこと。

WAF導入工場：誤検知を防ぐ手順と説明の型

1. 導入の手順

① 守る範囲を決める
　（サイト全体／フォームとログインだけ、など）
② 製品やサービスの形を選ぶ
　（サーバーに入れる型、クラウドのサービスとして使う型など）
③ 検知だけして止めない設定で、まず動かせるか確認する
④ 一定期間、検知の記録を見て、正常な通信が引っかかっていないか確かめる
⑤ 引っかかった正常な通信を除外し、除外した内容を記録する
⑥ 止める設定に切り替え、フォーム送信・管理画面の更新・決済を実際に試す
⑦ 月次報告で、検知の件数と、除外の見直しを報告する

③の「検知だけ」の設定ができるかは、製品やサービスによって違います。導入前に確認してください。

2. 導入後に必ず試す操作

□ 問い合わせフォームの送信（長い文章、記号、URLを含む文章）
□ 管理画面での記事の保存と更新
□ 画像やファイルのアップロード
□ 会員のログインとパスワードの再設定
□ 決済や予約の完了まで
□ 外部の連携（予約システム、メール配信など）の動き

3. 料金の考え方

WAFの料金 ＝ 製品・サービスの実費
　　　　　＋ 導入と調整の工数 × 時間単価（初期）
　　　　　＋ 月の確認の工数 × 時間単価（月額）

例：導入と調整 5時間、時間単価 8,000円 → 初期 40,000円 ＋ 実費
　　月の確認 0.5時間 × 8,000円 ＝ 月 4,000円 ＋ 実費

月の確認を料金に入れない保守は、誤検知の相談を無償で受けることになります。
保守の松竹梅への組み込み方は、こちらで扱っています。

▶ 保守料金をセキュリティ込みで決め直す──「月1万円で全部」をやめ、工数の積み上げ・松竹梅・緊急対応の別料金で組む料金設計と計算例

4. お客様への説明の型

WAFは、サイトへの通信を見張り、攻撃と思われるものを止める仕組みです。
サイトの弱点そのものを直すものではないため、更新や改修と組み合わせて使います。
導入の直後は、正常な送信が止まることがあるため、〇週間は様子を見ながら調整します。
フォームから送れないなどの連絡があれば、すぐにお知らせください。

構造的なリスク

逆説を指摘しておきます。

WAFを入れると、お客様も制作会社も、更新や改修を先送りしやすくなります。
「WAFがあるから大丈夫」という安心が、根本の対策を遅らせるのです。

だから、WAFの提案書には、必ず「並行して行う更新と改修」の予定を書きます。
WAFは時間を稼ぐ道具であり、直す作業の代わりではありません。

よくあるQ&A

Q. サーバー会社のWAFを有効にするだけでよいか？

それで足りるサイトもあります。ただし、誤検知の確認と除外の設定を誰がするかは、保守の範囲として決めておいてください。

Q. WAFを入れていたのに、被害が出たら？

WAFは攻撃の影響を低減する対策で、すべてを止めるものではありません。その前提を、導入の時点で書面で伝えておくことが大切です。責任の範囲の決め方は、こちらで扱っています。

▶ Web制作会社の責任と損害賠償は「サイトが攻撃された日」に問われる──制作と保守で違う責任の形、契約で決める上限・免責・範囲外・お客様の義務

Q. 誤検知で失った問い合わせの責任は？

導入直後の調整期間と、その間に起こりうることを、事前に説明して合意しておきます。異常の連絡を受けたら、すぐに検知だけの設定に戻せる手順を用意してください。

最後に

WAFは、入れること自体ではなく、なぜそのサイトに必要かを説明できることに価値があります。

根本の対策と組み合わせ、誤検知の調整まで保守に組み込んだ会社だけが、WAFを「安心の商品」として売り続けられるのです。

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #WAF #WAF導入 #セキュリティ保守 #誤検知 #情報セキュリティ #制作会社経営 #中小企業 #WordPress #保守契約