実際にあった相談——「作ってから触っていない」サイトの中身
ご相談のきっかけは「ホームページを常時SSL化したい」という一点でした。ところが実際にサイトを拝見すると、問題はSSLだけではありませんでした。
- WordPressが約10年前のバージョンのまま更新されていない（セキュリティ修正が長期間当たっていない）
- 通信がhttpのままで、ブラウザのアドレスバーに「保護されていない通信」と警告が表示される
- サーバーのPHP（WordPressを動かす土台のプログラム）も古いバージョンのまま
- バックアップの仕組みがなく、壊れた場合に戻す手段がない
重要なのは、この状態でもサイトは普通に表示されていたことです。見た目に異常がないため、社内の誰も問題に気づいていませんでした。放置サイトのリスクは「表示が壊れる」形ではなく、目に見えない形で蓄積します。
なぜ危険なのか——放置が招く3つの実害
1. 改ざん・乗っ取りの標的になる
WordPressは世界中で使われているため、古いバージョンの弱点は攻撃者側に知り尽くされています。放置されたサイトは「知られた弱点が放置されている家」と同じで、機械的なスキャンで見つけ出され、改ざんやスパム配信の踏み台にされます。改ざんされると復旧費用だけでなく、お客様や取引先に不正なページを見せてしまう信用問題に発展します。実際に改ざんからの復旧は数万〜数十万円規模になるケースが多く、事前の更新費用より一桁高くつきます。
2. 「保護されていない通信」警告が信頼を削る
SSL未対応のサイトは、ChromeやSafariのアドレスバーに警告が表示されます。士業・医療・金融など信頼が商品そのものである業種ほど、この警告の実害は大きいです。問い合わせフォームに入力された内容が暗号化されずに流れる状態は、個人情報の取り扱いとしても説明がつきません。検索順位の評価要素にもなっており、集客面でも不利です。
3. 直したくても直せない「詰み」に近づく
放置期間が長いほど、WordPress本体・PHP・テーマの間のバージョンの溝が広がり、一度に最新化すると表示が壊れるリスクが上がります。今回の案件でも、10年分の差を埋めるために「どのバージョンまでなら安全に上げられるか」を検証しながら段階的に更新する必要がありました。放置は現状維持ではなく、修理費用が年々上がっていく状態だと考えてください。
2026年からの変化——SSL証明書は「取って終わり」ではなくなった
もう一つ、経営者の方に知っておいていただきたい変化があります。SSL証明書（httpsの鍵）の有効期間は、業界ルールの改定により2026年3月15日以降に発行されるものから最長200日に短縮されました。今後も段階的に短くなり、2029年には47日まで縮む予定です。
つまり「一度SSL化すれば数年放置できる」時代は終わり、年2回程度の証明書入れ替えが定常業務になります。自社で手順を覚えて回すか、外部にスポット依頼するかを最初に決めておくと、期限切れで警告画面が出る事故を防げます。
| 発行時期 | 証明書の最長有効期間 | 更新の目安 |
|---|---|---|
| 2026年3月15日以降 | 200日 | 年2回程度 |
| 2027年3月15日以降 | 100日 | 年3〜4回 |
| 2029年3月15日以降 | 47日 | ほぼ毎月（自動化前提） |
更新頻度が上がるほど手作業はつらくなるため、サーバーの自動更新機能が使えるかどうかが、レンタルサーバー選びの重要な基準になってきます。
実案件で行った対処の順番——バックアップが最初、更新は最後
今回の案件で弊社が実施した手順です。放置サイトの復旧は順番を間違えると壊すため、この流れをおすすめします。
- 手順1: 現状把握——WordPressのバージョン、PHPのバージョン、サーバーの機能（SSL設定・自動更新の有無）、サイトの構成を確認する
- 手順2: 三重のバックアップ——サイトファイル一式、データベース、公開ページの見た目（クロール保存）を取得してから作業に入る
- 手順3: SSL化——証明書の取得・設置、サイト内のhttp記述の一括修正、httpからhttpsへの転送設定。修正後に全ページを機械的に巡回して警告が残っていないか検証する
- 手順4: WordPress本体の段階更新——PHPのバージョンで安全に動く範囲まで更新し、全ページの表示を検証。崩れたら即座に戻せる状態を維持する
- 手順5: 更新の定常運用を決める——証明書の入れ替え、WordPress・プラグインの更新を「誰がいつやるか」を決めて初めて完了
ポイントは手順3と4を分けることです。SSL化とWordPress更新を同時にやると、表示が崩れたときにどちらが原因か切り分けられなくなります。一つ変えたら全ページ検証、が鉄則です。
費用相場と内製/外注の判断
放置サイトの立て直しにかかる費用の目安です（サイト規模や状態で変動します）。
| 作業 | 費用の目安 | 備考 |
|---|---|---|
| SSL化一式（証明書設定＋混在修正＋検証） | 2〜5万円程度 | 証明書実費は年数千円〜 |
| WordPress本体・プラグインの更新（検証込み） | 2〜10万円程度 | 放置期間が長いほど高くなる |
| 改ざんからの復旧（事後対応） | 数万〜数十万円 | 予防の数倍〜十数倍 |
| 更新の定常運用（スポット依頼） | 数千円〜1万円台/回 | 証明書入替・バージョン更新など |
レンタルサーバーの無料SSLと自動更新が使える環境なら、SSL化は内製でも現実的です。一方、何年も放置したWordPressの更新は、壊れたときに戻せる体制がないなら外注をおすすめします。判断基準は「バックアップから自力で復元できるか」です。できないなら、更新作業そのものより復旧体制に価値を置いて外注を検討してください。外注時の見積もりの見方は業務自動化の費用相場ガイドも参考になります。
なお、AIツールで社内システムを内製する動きが広がっていますが、公開サーバーに置くものは放置サイトと同じ経路で攻撃されます。AIに作らせたツールの危険性と対策、中小企業の情報漏えい事例もあわせてご覧ください。
自社サイトの状態、一度点検してみませんか
「うちのホームページは大丈夫か分からない」という段階のご相談で構いません。現状の点検と優先順位のご提案から承ります。WordPressのバージョンアップやSSL化は、事前バックアップと表示検証込みで安全に進めます。
AIに30秒で試す →よくある質問
Q. 表示は正常なのに、本当に危険なのですか？
危険です。攻撃の多くは表示を壊さずに行われます。スパム配信の踏み台や不正ページの設置は、管理者が気づかないまま数か月続くことも珍しくありません。表示の正常さは安全の証拠にならない、というのが実際に複数のサイトを点検してきた弊社の実感です。
Q. 何から手を付ければよいですか？
最初にやるべきはバックアップです。次にWordPressとPHPのバージョン確認、SSL対応状況の確認。この3点が分かれば、危険度と費用感はほぼ見積もれます。管理画面に入れない・ログイン情報が分からないという場合も多いので、その確認も早めにおすすめします。
Q. サイトを作り直したほうが早くありませんか？
内容が古く全面リニューアルの予定があるなら作り直しも合理的です。ただしリニューアルには通常数十万円と数か月かかります。その間も古いサイトは攻撃対象のままなので、リニューアル計画があっても、SSL化と本体更新だけは先行して行う二段構えをおすすめします。
Q. 更新して表示が崩れたらどうするのですか？
事前のバックアップから戻し、原因を特定してから再挑戦します。弊社では更新前にファイル・データベース・表示の三重バックアップを取り、更新後に全ページを機械的に巡回して崩れやエラーを検出する手順にしています。「戻せる状態を作ってから触る」が守られていれば、更新作業は怖いものではありません。