パフォーマンス 3分2026年10月2日

ウェブサイトのバックアップとセキュリティ：ハッキングされる前に

テストしていないバックアップはバックアップではありません。ハッキングされる前にこのチェックリストを実践し、ウェブサイトを災害から守りましょう。

バックアップは実際にどこに保管されているか

ウェブサイトのバックアップが同じサーバー上の別フォルダにしかない場合、侵入に成功した攻撃者はそのフォルダを暗号化したり削除したりできます。小規模事業者にとって、3-2-1 ルールは今も現実的な基本です。コピーを三つ持ち、二種類の異なる保存媒体を使い、そのうち一つは別の場所に保管します。本番サーバーから一度も外に出ないバックアップはバックアップではなく、ディスク容量を消費しているだけです。

UpdraftPlus、Duplicator Pro、cPanel Backup、JetBackup、あるいはシンプルな rsync と cron ジョブなどのツールを使いましょう。外部への保管先には AWS S3、Google Drive、Backblaze B2、Hetzner Storage Box などがあります。業界の規定でデータを特定の国や地域内に保管する必要がある場合は、クラウド事業者の保管場所を確認してください。国境を越えたデータ移転を制限する業界規制もあるため、外部の保管先を選ぶ前にコンプライアンスの担当者に確認しましょう。

復元訓練なしではバックアップとは言えない

バックアップファイルが存在することと、そのバックアップから復元できることは同じではありません。壊れたアーカイブ、不完全なデータベースのダンプ、誤ったファイル権限は、実際に復旧するときに初めて表面化します。だからこそ、テストしていないバックアップはバックアップとは言えないのです。少なくとも月に一度、ステージング環境に完全に復元し、ファイル、データベース、プラグイン、テーマの設定をまとめて確認しましょう。

小さなスクリプトで訓練を自動化します。最新のバックアップを取得してテスト領域に展開し、トップページが HTTP 200 を返すかを確認します。この確認に失敗したら、バックアップの仕組みを緊急警報の状態として扱いましょう。復元にかかる時間も計測してください。緊急時には、二時間で復旧できるバックアップのほうが、八時間かかるものよりはるかに価値があります。

更新の規律：古いソフトウェアは攻撃者を招く

WordPress、WooCommerce、Joomla、独自開発のアプリケーションの古いバージョンには既知の脆弱性があり、攻撃者はそれを自動でスキャンしています。更新を怠るサイトは、やがて狙われやすい標的になります。小規模なセキュリティパッチは自動更新を有効にし、メジャーバージョンの更新はまずステージング環境でテストしましょう。

プラグインとテーマの一覧を管理し、使っていないものは削除してください。無効化されていても、古いプラグインはリスクを増やします。更新前には変更履歴を読み、既知の競合がないか確認しましょう。ただし注意が必要です。自動更新は独自のコードを壊し、サイトを停止させることがあります。メジャー更新を本番環境に自動で適用するのではなく、メンテナンスの時間枠を設け、切り戻しの計画を用意したうえで適用しましょう。

管理画面は金庫のように守る

攻撃者は、総当たり攻撃で管理画面に侵入することがよくあります。初期設定の /admin や /wp-admin のパスを変更し、ログイン試行回数を制限し、二要素認証を必須にしましょう。パスワードマネージャーで生成した長く固有のパスワードを使い、メールや他のサービスと同じパスワードを使い回さないでください。

管理画面へのアクセスは IP の許可リストで制限し、リモートで働く人には VPN を使ってもらいましょう。WordPress では XML-RPC や不要な REST エンドポイントを無効にします。Wordfence、Sucuri、サーバー側の Imunify360 などのツールは、総当たり攻撃や悪意のあるリクエストを遮断します。また、権限も分けましょう。コンテンツの編集担当者に完全な管理者権限を与える必要はありません。

バックアップの頻度はサイトの種類に合わせる

ひとつのバックアップスケジュールがすべてのサイトに合うわけではありません。ネットショップ、会員システム、予約機能のあるサイトはデータが常に変化するため、少なくとも一時間ごとのデータベースのバックアップと、毎日のファイル全体のバックアップが必要です。静的な会社案内サイトなら、週一回のフルバックアップで十分な場合が多いでしょう。

取引の多いサイトでは増分バックアップを使いましょう。フルバックアップに毎回何時間もかかるなら、毎日の増分バックアップと週一回のフルバックアップの組み合わせが妥当です。予算が限られている場合は、最も重要なデータ（注文、ユーザー、コンテンツ）を個別にエクスポートします。ただし、一時間ごとの自動フルバックアップがすべてのサイトに必要なわけではありません。リソースを消費し、費用もかさみます。まずは目標復旧時間を決めることから始めましょう。

バックアップとセキュリティ検知を組み合わせる

バックアップだけではセキュリティになりません。攻撃を止めるものではなく、復旧の手段を提供するだけです。侵害を受けた後、クリーンなバックアップから復元するだけでは不十分です。脆弱性を見つけて塞がなければ、攻撃者は同じ扉から再び入ってきます。バックアップに加えて、ファイルの改ざん監視、マルウェアスキャン、ログの確認を組み合わせましょう。

Sucuri SiteCheck、Wordfence、ClamAV、またはサーバー側のスキャナーを定期的に実行してください。Git によるバージョン管理を使えば、インシデントの前後でファイルの変更を比較できます。小規模なチームに現実的な運用は、自動バックアップ＋週次のセキュリティレポート＋月次の復元訓練です。こうすれば、サイトが乗っ取られる前に対応できます。