ホームページの管理画面パスワードを守る｜使い回し対策と二段階認証

ホームページの管理画面やサーバーの管理ページに入るための「ID とパスワード」は、いわばホームページの鍵です。この鍵が他人の手に渡ると、プログラムの更新を欠かさなくても、中身を書き換えられてしまうおそれがあります。この記事では、ホームページの管理画面やサーバーのパスワードを守るために、今日からできることを、初心者の方にも分かるように整理します。

ホームページのパスワードが狙われるのはなぜか

ホームページの乗っ取りというと、「高度な技術で破られる」場面を思い浮かべる方も多いかもしれません。実際には、更新が止まった古いプログラムの弱点だけでなく、パスワードが推測されたり、別のサービスから漏れたものを使われたりして、正面から入られるケースも考えられます。

特に注意したいのは、パスワードの「使い回し」です。ほかのサービスで漏れた ID とパスワードの組み合わせを、別のサービスで試される手口があるため、同じパスワードを使っていると、ホームページの管理画面にも入られる可能性があります。

管理画面に入られてしまった場合の対応は、ホームページが改ざん・乗っ取りされたら？初動対応と日頃の備えで整理しています。この記事は、そうならないための「入り口の守り」の話です。

守るべきパスワードはどれか

ホームページに関わるパスワードは、実は複数あります。まず、どこに鍵があるのかを書き出してみてください。

場所	入られると何が起きるか
管理画面（WordPress、自作の管理画面など）	記事や画像の書き換え、ユーザーの追加
サーバーのコントロールパネル	ファイルの入れ替え、設定の変更、メールの設定変更
FTP などのファイル転送のアカウント	ファイルの直接の書き換え
ドメインの管理サービス	ホームページのアドレスの移し替え、メールの乗っ取り
Google ビジネスプロフィールなどのアカウント	店舗情報の書き換え

表のうち、特にサーバーとドメインの管理サービスは、入られたときの影響が大きい場所です。優先して守りましょう。

パスワードの基本：長く・複雑に・使い回さない

IPA（情報処理推進機構）は、パスワードを「できるだけ長く」「複雑で」「使い回さない」ものにすることを勧めています。ここでの「複雑」とは、名前や誕生日など、推測されやすい言葉を避けるという意味です。

• 使い回さない：サービスごとに、別のパスワードにします。
• 長くする：短いものを難しくするより、長いものにするほうが現実的です。
• 推測されにくくする：名前、会社名、電話番号、誕生日、「admin」「password」といった初期値は避けます。
• 初期のパスワードのままにしない：制作会社から渡された仮のパスワードは、受け取ったらすぐに変更します。

覚えきれない場合は、パスワード管理の仕組み（ブラウザの機能や専用のサービス）を使う方法もあります。付箋や、誰でも開ける表計算ファイルに書いておくのは避けたいところです。

二段階認証（多要素認証）で一歩進んだ守りを

IPAは、パスワードの強化や使い回しの回避に加えて、「一歩進んだ対策」として多要素認証の設定を勧めています。多要素認証とは、「知っていること（パスワード）」「持っているもの（スマートフォンなど）」「体の特徴（指紋や顔）」のうち、2つ以上を組み合わせて本人かどうかを確かめる方法です。「二段階認証」「多段階認証」と呼ばれることもあります。

IPAによると、ID とパスワードが不正に使われても、2つ目の確認を通らないとログインできないため、不正ログインを防ぐ効果があります。

ホームページまわりでは、次の順に確認すると進めやすくなります。

1. サーバー会社やドメインの管理サービスの設定画面で、二段階認証に対応しているか確認する。
2. 対応していれば、まずここで有効にする。
3. 管理画面が WordPress などの場合は、対応の方法を制作会社に確認する。
4. 二段階認証の予備の方法（バックアップコードなど）を、安全な場所に控えておく。スマートフォンを失くしたときに、自分が入れなくなるのを避けるためです。

対応しているかどうかや設定の方法は、サービスによって異なります。この記事では特定の製品の手順には触れませんので、各サービスの公式の案内でご確認ください。

人の出入りに合わせて、鍵を見直す

パスワードは、人の出入りがあったときにも見直しが必要です。

• 退職した人、取引を終えた制作会社のアカウントは、速やかに無効にします。
• 管理画面のアカウントは、人ごとに分けます。共有のアカウントだと、誰が操作したのか分からなくなります。
• 管理者の権限は、必要な人だけに付けます。
• パスワードをメールやチャットで送るときは、ほかの連絡手段と分けるなど、取り扱いに気をつけます。

IPAの「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）にも、基本の取り組みとして、パスワードを強化することが挙げられています。ホームページに限らず、会社全体で見直すきっかけにしてください。

自分のサイトの状態を確認する

パスワードのほか、更新やバックアップなど、全体の状態を確認したい場合は、無料のホームページのセキュリティチェック（12の質問・登録不要）が使えます。入力した内容は端末の中だけで処理され、送信されません。あくまで簡易のチェックで、安全を保証するものではありません。

使っているPHPのバージョンが気になる方は、PHP脆弱性チェックで、更新の要否の目安を確認できます。更新の必要性は、PHP2shell（PHPの脆弱性）とは？で解説しています。もしものときに戻せるようにしておくバックアップも、あわせて見直しておくと安心です。

まとめ：鍵の管理は、今日から始められる

ホームページのパスワードの守りは、「使い回さない」「長くする」「二段階認証を使う」「人の出入りで見直す」の4点が基本です。どれも、プログラムを触らなくてもできることです。

「自分のサイトの管理画面やサーバーは、どう守られているのか分からない」という場合は、お問い合わせください。ヒアリングは無料で、蟹江町や近隣（蟹江町のホームページ制作、海部地域）の方は、対面での相談もできます。