ホームページのセキュリティ対策を制作会社や保守会社に頼むとき、確かめるのは「何を・どの頻度で・誰が・いくらで」の4点です。
「セキュリティ対策込み」の一言では、WordPress の更新だけなのか、監視と復旧まで入るのかが分かりません。
この記事では、見積もりの前に聞く8項目と、月額に入るもの・別料金になるものの分け方、頼まなくてよいことを説明します。
当社の料金を例にしますが、他社でも同じ区分で聞けば比べられます。
結論｜8項目を「月額内・別料金・対象外」で答えてもらう
| 項目 | 確かめること | 答えの例（当社の場合） |
|---|---|---|
| 1. 更新 | WordPress 本体・テーマ・プラグインの更新の頻度と、更新後の表示確認 | 月額内（保守・運用改善） |
| 2. バックアップ | 取る頻度、世代数、保存先（サーバーと別の場所か）、復元の試験 | 月額内（取得と復元の確認） |
| 3. ログインの保護 | 管理者アカウントの整理、2段階認証、ログイン試行の制限、ログインURLの変更 | 初回の設定は月額内か内部構造調査で |
| 4. サーバー側の防御 | レンタルサーバーの WAF（不正な通信の遮断）が有効か。PHP の版 | 設定の確認は月額内。サーバーの契約は実費 |
| 5. 通信と表示の保護 | SSL 証明書の期限管理、セキュリティヘッダーの設定 | 月額内（期限の監視）／ヘッダー設定は別料金のことも |
| 6. 監視 | 改ざん・停止・不正ログインに気づく仕組みと、気づいてから連絡するまでの時間 | 契約で決める。24時間の監視は別料金が普通 |
| 7. 整理 | 使っていないプラグイン・テーマ・ユーザーの削除 | 内部構造調査（¥30,000〜）で洗い出し |
| 8. 事故のときの動き | 初動（止める・残す・連絡）を誰がやるか。復旧の費用は月額に入るか | 不具合対応は月額内。契約が無い場合は 1時間 ¥5,000〜 |
8項目を「月額内」「別料金（いくら）」「対象外」の3つで答えてもらい、各社を並べます。
「対応します」という答えは、3つのどれかに言い換えてもらってください。
頼む前に、いまの状態を無料で測る
現状が分かっていると、見積もりの中身を判断できます。
URL を入れるだけの当社の無料ツールです。
| 見るもの | ツール | 分かること |
|---|---|---|
| WordPress の露出 | WordPressセキュリティ診断 | 版の公開、ログイン画面の見え方、設定ファイルの露出 |
| PHP の版 | PHPバージョン確認 | サポートが切れた PHP で動いていないか |
| 改ざんの兆候 | 改ざん・スパム汚染チェック | 不正なリンク、隠しページ、見慣れない語 |
| ヘッダー | セキュリティヘッダー診断 | ブラウザー側の防御の設定と、設定例 |
| 証明書 | SSLチェック | SSL 証明書の期限と設定 |
結果を見積もりの依頼文に添えると、各社が同じ現状を見て答えられます。
費用の見方｜月額に入るもの、単発のもの
セキュリティの費用は、毎月かかるもの（更新・バックアップ・監視）と、1回で済むもの（初期設定・調査・ヘッダー設定）に分かれます。
| 区分 | 内容 | 当社の料金（税込） |
|---|---|---|
| 毎月 | 更新・定期バックアップ・不具合対応・分析と改善 | 月額 ¥11,000〜 |
| 1回 | 内部構造の調査と改善提案（不要なプラグイン・ユーザー・設定の洗い出し） | ¥30,000〜 |
| 1回 | 設定の変更・ヘッダーの追加などのカスタマイズ | 1時間 ¥8,000〜 |
| 起きたとき | 契約が無い場合の復旧・不具合対応 | 1時間 ¥5,000〜 |
| 実費 | レンタルサーバー・WAF・証明書・有料プラグインの費用 | サーバー会社などへ直接 |
月額を安く見せて、1回の作業を高く積む見積もりもあります。
1年の合計で比べてください。
年間の計算の型はホームページの維持費にあります。
頼まなくてよいこと
- WordPress 本体の小さな更新（セキュリティ修正）は、標準で自動で当たります。止めていないか確かめるだけでよいです
- レンタルサーバーの多くは WAF を標準で持っています。別に買う前に、有効になっているかを見ます
- セキュリティプラグインを何本も入れること。重なると遅くなり、相性の不具合も出ます。1本に絞ります
- 「ハッキング保険」のような名前の月額サービスは、中身が上の8項目のどれに当たるかを聞いてから
逆に、バックアップの復元試験と、使っていないプラグイン・ユーザーの削除は、頼まないと誰もやりません。
つまずきやすい所と対処
| つまずき | 起きること | 対処 |
|---|---|---|
| 「対策込み」の一言で契約する | 更新だけで、監視も復旧も入っていなかったと事故のときに分かる | 8項目を「月額内・別料金・対象外」で書面にしてもらう |
| セキュリティプラグインを重ねる | 表示が遅くなる。相性の不具合で管理画面に入れなくなる | 1本に絞る。入れる前後で表示速度を測る |
| 更新を止めたまま放置する | 表示崩れを恐れて更新を止め、穴が開いたまま数か月たつ | 更新後の表示確認まで含めて頼む。崩れたら戻せるバックアップを先に用意する |
| ログインURLを変えて誰も入れなくなる | 担当者が替わり、変更後のURLとパスワードが分からない | 変更内容は管理情報の一覧に書き、社内の2人以上が持つ |
デメリットとして、監視を24時間にすると費用は大きく上がります。
会社の規模とサイトの役割（売上に直結するか）で、昼間だけの確認で足りるかを決めてください。
よくある質問：セキュリティ対策を頼むとき
月額いくらが相場ですか？
中身で変わるので、金額だけでは比べられません。
上の8項目を「月額内・別料金・対象外」で答えてもらい、同じ中身の月額で比べてください。
小さな会社のサイトも狙われますか？
狙われます。
攻撃は会社の規模ではなく、古い WordPress やプラグインを機械的に探して入ってきます。
制作会社と保守会社が別でも大丈夫ですか？
大丈夫ですが、更新で表示が崩れたときに「どちらが直すか」を先に決めておきます。
改ざんされたときの責任は誰にありますか？
外への責任は自社、復旧の費用は契約で決まります。
線引きはホームページが改ざんされたら責任は誰かにまとめました。
まとめ
8項目を「月額内・別料金・対象外」で答えてもらえば、「セキュリティ対策込み」の中身が見えます。
頼む前に無料ツールで現状を測り、結果を依頼文に添えてください。
当社を含めて2〜3社に同じ8項目を聞き、1年の合計で比べて決めてください。
