CDN・WAFの導入で、顧客サイトを止めない注意点──DNSの切り替え、キャッシュの事故、誤検知、契約名義の4つを、作業の前に決めておく

この記事は、CDNやクラウド型WAFのサービスを顧客サイトに入れるときの注意点、CDN・WAF導入で起きやすい事故と、その防ぎ方を扱います。

「入れた翌日から、メールが届かない」

「CDNを入れたら表示は速くなった。でも、翌日から会社のメールが届かないと電話が来た」

CDNやクラウド型WAFは、設定画面で数クリックすれば使い始められます。
その手軽さが、事故の原因になります。

サイトの前に、別の事業者の仕組みを一枚挟む。
それは、ドメイン、メール、会員のページ、契約の名義まで、サイトの周りのすべてに触れる作業です。

CDN・WAFサービスの導入とは、サイトへの通り道を別の事業者に付け替えることであり、通り道に関わる全部を作業の前に棚卸しすることである

黒字化の外科医です。CDN・WAFサービスの導入で起きる事故の型と、防ぎ方を解剖します。

WAFそのものを勧めるかどうかの判断は、第1弾で扱いました。この記事は「入れると決めたあと」の注意です。

▶ WAF導入を、制作会社は「全部のサイトに」と勧めない──WAFとは何かを一言で、勧める判断基準、誤検知でフォームが止まる事故の防ぎ方

棚卸しが要る理由は、三つあります。

第一に、DNSの切り替えは、サイト以外にも影響するから。
導入の多くは、ドメインのDNSの設定を変えて、通り道を付け替えます。ネームサーバーごと移す方式では、メールの設定など、サイト以外の記録も引っ越すことになります。漏れると、メールや別のサービスが止まります。

第二に、元のサーバーへの直接の道が残ると、守りが半分になるから。
内閣サイバーセキュリティセンター（NISC）の「DDoS攻撃への対策について（注意喚起）」（令和7年2月4日）は、CDNを使う場合、元のサーバー（オリジンサーバ）へ直接アクセスされることを防ぐため、そのIPアドレスを隠す必要があるとしています。

第三に、サービスの責任範囲と免責は、契約で決まっているから。
総務省の「クラウドの設定ミス対策ガイドブック」は、クラウドサービスの免責条項などに、契約の時に注意して読んでおく必要があるとしています。誰の名義で契約し、何を事業者が引き受けるのかを、導入の前に確認します。

今すぐ試せる：導入前の棚卸しをするプロンプト

私はWeb制作会社の経営者です。顧客サイトにCDN／クラウド型WAFのサービスを導入する前の棚卸し表を作ってください。

【前提】
・ドメインの管理者（登録の名義、DNSを管理している場所）：〔　〕
・そのドメインで使っているもの（サイト、メール、外部サービスの認証など）：〔　〕
・サイトの種類（ログイン、会員、カート、フォームの有無）：〔　〕
・導入するサービスの方式（ネームサーバーを移す／一部の記録だけ向ける）：〔　〕
・契約の名義と、支払いの方法：〔　〕

1. DNSの切り替えで影響を受けるものの一覧を作る。
2. キャッシュしてはいけないページの候補を挙げる。
3. 導入後に必ず試す操作の一覧を作る。
4. 顧客に確認すべき契約の事項を挙げる。

特定のサービスの推奨はしないこと。

導入工場：4つの注意と、作業の型

1. DNSの切り替え

□ 現在のDNSの記録を、すべて書き出して保存した（切り戻しに使う）
□ メール関係の記録（受信先、送信元の認証など）を移したか確認した
□ 外部サービスの認証用の記録を移したか確認した
□ 切り替えは、問い合わせの少ない時間帯に行う
□ 切り戻しの手順と、判断する人を決めた

2. キャッシュの事故

CDNは、ページを途中で保存して配ります。
ログイン後のページ、マイページ、カート、フォームの確認画面など、人によって中身が変わるページを保存すると、別の人に表示される事故につながります。

□ 人によって中身が変わるページを一覧にした
□ そのページを、キャッシュの対象から外した
□ 管理画面を、キャッシュの対象から外した
□ 更新したページが、いつ反映されるかを顧客に説明した

3. 誤検知と、元のサーバーへの道

□ 導入直後に、フォーム送信・ログイン・決済・管理画面の更新を試した
□ 遮断の記録を、導入後しばらく毎日確認する担当を決めた
□ 元のサーバーのIPアドレスへの直接の通信を、制限できるか確認した
□ 元のサーバーのIPアドレスを、公開の場所に書いていないか確認した

4. 契約名義と、やめるとき

・契約の名義：〔顧客／当社〕
・管理画面の権限を持つ人：〔顧客の〇〇様、当社の〇〇〕
・支払い：〔顧客が直接／当社が立て替えて請求〕
・保守契約が終わるとき：権限の移し方、または解約の手順
・サービスが止まったときの連絡先と、切り戻しの判断者

おすすめは、顧客の名義で契約し、制作会社は管理の権限をもらう形です。
制作会社の名義のままだと、保守をやめるときに、顧客のサイトの通り道を制作会社が握った状態になります。

なお私は弁護士ではありません。契約の名義や責任の範囲は、実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

構造的なリスク

逆説を指摘しておきます。

CDNやWAFのサービスを入れると、「これで守られている」と顧客も制作会社も安心します。
けれど、CMSやプラグインの脆弱性そのものは、残ったままです。

通り道の守りは、更新とセットで初めて意味を持ちます。導入の提案書には「更新を止めてよい理由にはならない」と一行入れてください。

よくあるQ&A

Q. 導入の作業は、いくらで見積もるか？

棚卸し、DNSの切り替え、キャッシュの設定、導入後の確認、1か月の遮断記録の確認を、工程ごとに時間で積み上げ、自社の時間単価を掛けます。月額の利用料とは分けて出します。

Q. 顧客がすでに自分で入れていた。どうするか？

まず、契約の名義と、管理画面の権限を持つ人を確認します。権限がないまま設定に手を出すと、事故のとき責任の線が引けません。

Q. DDoS対策として入れたいと言われたら？

CDNは対策の一つですが、それだけで全部を防げるわけではありません。考え方はこちらで扱いました。

▶ DDoS対策を、中小企業のサイトで「全部防ぎます」と言わない──NISCの注意喚起で引く現実的な線と、止まったときの備え

最後に

CDN・WAFサービスの導入は、サイトへの通り道を付け替える作業です。

DNS、キャッシュ、誤検知、契約名義の4つを作業の前に棚卸しした会社だけが、速さと守りを足しながら、顧客サイトを止めずにすむのです。

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #CDN #WAF #DNS #セキュリティ対策 #保守運用 #制作会社経営 #中小企業 #サイト運用 #情報セキュリティ