ホームページの月額料金って必要？制作会社が教える保守の裏側
「制作費を払ってホームページを作ったのに、公開後も毎月お金がかかるの？」。更新を頼んでいない月にも請求が届けば、何のための料金なのか気になると思います。
ひと口に月額料金といっても、サーバー代、制作費の分割払い、保守の作業代など、中身は契約によって違います。まずは請求の内訳を確認すること。そのうえで今回は、外から見えにくい「保守」の仕事についてお話しします。
ホームページは、見た目が変わっていなければ何も起きていない、とは限りません。実際にログイン履歴を見て、そのことを感じた経験があります。
目次
小さな企業サイトにも、不正ログインの試行は届く
セキュリティ対策ツールでログイン履歴を確認したところ、管理画面への不正なログイン試行が、毎日数十件も記録されていました。確認した試行は、すべて失敗していました。
ここで伝えたいのは、「狙われていない」のではなく、「侵入を試みられているけれど、確認した試行では突破されていなかった」ということです。この件数はそのとき確認したサイトの話で、すべてのホームページで同じ件数が発生するという意味ではありません。
攻撃者が一社ずつ会社案内を読んで、狙う相手を決めているとは限りません。自動化されたプログラムが、ログイン画面でIDとパスワードの組み合わせを試したり、古いプログラムの弱点を探したりします。会社の規模が小さいことは、こうした試行を受けない理由にはならないのです。
自動化されたログイン試行の仕組みは、WordPress公式の解説でも紹介されています。アクセスや試行の記録があることと、侵入が成功したことは区別する必要があります。
もし突破されたら、自社のホームページだけの問題では済まないことも
不正に書き換えられると、会社案内が別の内容になったり、訪問者が偽のログイン画面などへ誘導されたりする可能性があります。自社のホームページを見に来た人を、危険な場所へ案内する入り口にされてしまうわけです。
また、サーバー内に保存された情報へアクセスされれば、情報漏えいにつながるおそれがあります。問い合わせ内容をサイト側に保存しているか、攻撃者がどこまで操作できるかなどによって、影響は変わります。侵入されたら必ずすべての情報が漏れる、という話ではありません。こうした改ざんや情報漏えいの可能性は、JPCERT/CCの解説にも示されています。
サイトやサーバーが迷惑メールの送信に悪用される場合もあります。WordPress公式の被害対応ガイドでも取り上げられている問題です。保守を考える理由には、会社の信用を守ることだけでなく、第三者への被害を防ぐことも含まれます。
制作会社は裏側で何をしているのか
以下は、WordPressサイトの保守で検討する一般的な作業です。すべての制作会社や契約に含まれるものではありません。グラウェブの保守サービスについては、記事の最後で分けて説明します。
新しい攻撃と更新情報を確認し、対策を見直す
セキュリティ対策には、いたちごっこの面があります。弱点が見つかって修正版が出ても、その後に別の弱点や攻撃方法が見つかることがあります。一度対策した状態のまま、ずっと安全とは言い切れません。
そのため、WordPress本体や追加機能であるプラグイン、デザインを担うテーマの更新情報と、新たな攻撃の注意情報を継続して確認します。確認する際は、自社のサイトで使っているものに関係するか、急いで対処すべきかを判断する必要があります。強固なパスワードや多要素認証なども含め、対策を組み合わせてリスクを下げる考え方です。WordPress公式のセキュリティガイドも、完全な安全ではなくリスクの低減を基本としています。
更新ボタンを押す前と、押した後に確認する
更新は、新しい機能を増やすためだけのものではありません。セキュリティ上の問題を修正する更新もあります。ただし、プラグインなどの組み合わせによっては、更新後に不具合が出る可能性もあります。
そこで、更新内容や互換性を確認し、問題が出たときに戻せるよう準備してから作業します。WordPress公式のプラグイン管理ガイドでも、更新前のバックアップを勧めています。
更新後に確認したいのは、トップページの見た目だけではありません。例えば問い合わせフォームなら、入力して送信できるか、メールが届くかまで確認して、初めて利用者が使える状態か判断できます。どこを点検するかは、そのサイトの機能によって違います。
異常を見つけることと、復旧できることを分けて備える
ログイン履歴や警告、ファイルの変化などの確認は、異常に気づく手掛かりになります。今回のように失敗した試行が並んでいる場合と、身に覚えのないログイン成功がある場合では、必要な調査も違います。警告が出る仕組みを入れても、誰も通知を見なければ対応にはつながりません。
そして、防御をすり抜けられたり、作業を誤ったりしたときに備えるのがバックアップです。復旧のための最後の砦として、戻せるデータを残しておきます。
WordPressでは、画像やプログラムなどのファイルと、記事や設定が入ったデータベースの両方が必要です。保管場所を分け、保存できているか、復元に使えるかも確認します。WordPress公式のバックアップ解説も、この両方の保存と定期的な確認を案内しています。
ただし、戻せるのは保存した時点までです。月1回の保存なら、その後に追加した記事などが戻らない可能性があります。改ざんされた後のデータしか残っていなければ、そのまま戻すこともできません。侵入原因を解消せず復元すれば、再び被害を受けるおそれもあります。バックアップは大切ですが、流出した情報を取り戻せるものではありません。
攻撃以外にも出番はあります。以前のブログでは、知人がホームページを誤って上書きし、バックアップがなく元に戻せなかった話をご紹介しました。「ホームページのバックアップはしていますか？」も、日常のデータ管理を考える参考にしてください。
静的HTMLなら、保守はいらない？
静的HTMLのホームページには、通常、WordPressのような記事編集用の管理画面がありません。WordPress本体やプラグインの更新も不要なので、その分の管理を減らせます。お知らせを頻繁に投稿しない会社なら、運用の手間を抑えやすい選択肢です。
それでも、サーバーやドメインの契約更新、管理用アカウントの保護、データのバックアップは必要です。サーバーを操作するアカウントが奪われれば、静的HTMLでも書き換えられるおそれがあります。問い合わせフォームなどに別のプログラムを使っていれば、その部分の管理も考えます。
一方、WordPressには担当者が自分で記事や情報を更新しやすい利点があります。必要なのは、危険だから避けるという判断ではなく、更新の便利さと管理の負担を一緒に考えること。使い分けは自分で更新できるホームページのメリットとデメリットでも説明しています。
自社に有料の保守契約が必要かを考える
管理が必要であることと、有料の保守契約が必須であることは別です。担当者が更新情報を確認し、バックアップや不具合対応まで担えるなら、自社で管理する方法もあります。
判断するときは、普段の担当者だけでなく、困ったときの動きまで考えてみてください。
- 更新通知やセキュリティの警告を、誰が確認するか。
- サイトが動かなくなったとき、戻せるデータと手順があるか。
- 担当者が不在でも、対応を判断し、必要な相手に連絡できるか。
ここが曖昧なら、専門会社へ任せる範囲を決めておく意味があります。特に、サイトからの問い合わせが営業の入り口になっている会社では、止まったときの影響も判断材料になります。
見積もりを比べる際も、月額料金だけでは判断しにくいものです。バックアップの頻度と保存期間、更新の対象、異常時の連絡や復旧が契約に含まれるか。名称が同じ「保守」でも、その中身をそろえて比較すると、料金の違いが見えやすくなります。
グラウェブは買い切り型。保守は必要に応じて選べます
グラウェブのホームページ制作は買い切り型で、制作料金に必須の月額管理費はありません。静的HTMLのプランと、お客様自身で更新できるWordPressのプランをご用意しています。サーバー・ドメイン費用は別途必要です。
管理を任せたい方向けには、任意の保守サービスがあります。料金ページでは、月1回のバックアップ、WordPressのアップデート（ワードプレスプランのみ）をご案内しています。保守内容はご契約のプランによって異なります。この記事で紹介した一般的な保守作業のすべてが、契約に含まれるわけではありません。
制作と保守の費用は料金プランで確認できます。自社でどこまで管理するか決めかねている場合は、更新の頻度や社内の担当体制を添えてご相談ください。必要な管理と費用を整理するところからお手伝いします。
