小さなお店のホームページのセキュリティの基本
「うちのような小さなお店は狙われない」とは言い切れません。専門知識がなくても今日からできる、ホームページとアカウントを守るための基本を紹介します。
セキュリティと聞くと、大きな会社の話のように感じるかもしれません。けれど、ホームページやメール、SNSのアカウントを乗っ取ろうとする攻撃の多くは、相手を選ばずに機械的に行われています。お店の大きさに関係なく、守りが弱いところから入られてしまいます。
この記事では、小さなお店や個人事業がまず押さえたい基本を、パスワード、アカウントの持ち方、更新、フォーム、怪しいメールの5つに分けて紹介します。どれも、むずかしい専門知識がなくても取り組めることです。
パスワードと2段階認証
いちばん大切で、いちばん効果があるのがパスワードの見直しです。次の3つを守りましょう。
- 長く、推測されにくいものにする（店名や電話番号、誕生日は避ける）
- サービスごとに違うパスワードにする（使い回さない）
- 覚えきれない分は、パスワードを安全に保管する機能やアプリを使う
たとえば架空のカフェで、「hidamari2020」のように屋号と開店の年を組み合わせたパスワードは、お店のことを少し調べれば推測されてしまいます。意味のない文字の並びにするか、関係のない言葉をいくつかつなげて長くするほうが安全です。パスワードを書いた付せんを、レジやパソコンの画面に貼るのもやめましょう。
使い回しが危ないのは、どこか1つのサービスからパスワードがもれると、同じパスワードを使っているほかのサービスにも入られてしまうからです。ホームページの管理画面、ドメイン、サーバー、メール、Googleのアカウント、SNSは、特に分けておきましょう。
2段階認証を設定する
2段階認証は、パスワードに加えて、スマホに届く確認コードなどでもう一度本人かを確かめるしくみです。パスワードがもれても、それだけではログインされにくくなります。Googleのアカウントをはじめ、多くのサービスで設定できるので、使える場所では設定しておきましょう。
ポイント
2段階認証を設定したら、スマホをなくしたり機種を変えたりしたときのための「予備の方法」も用意しておきます。予備のコードを紙に書いて保管する、もう1つの連絡先を登録する、などです。方法はサービスごとに違うので、それぞれの公式ヘルプを確認してください。
アカウントは共有せず、辞めた人の権限は外す
1つのIDとパスワードを、家族やスタッフみんなで使い回していることはよくあります。けれど、共有したアカウントは、誰がいつ何をしたか分からず、パスワードを変えるたびに全員に伝える必要が出てきます。
Googleビジネスプロフィールやホームページの管理画面など、多くのサービスでは、1人ずつに権限を足す機能があります。1人に1つのアカウントで、必要な権限だけを渡すのが基本です。お店の持ち主のアカウントは、お店（自分）が持っておきましょう。名義の考え方はホームページの名義とアカウント管理で説明しています。
スタッフが辞めたときに見直す場所
| 場所 | すること |
|---|---|
| ホームページの管理画面 | その人のアカウントを削除するか、権限を外す |
| Googleビジネスプロフィール | 管理者やユーザーから外す |
| SNSのアカウント | 担当の権限を外す。共有していたならパスワードを変える |
| メール | その人用のアドレスを止めるか、転送先を見直す |
| ドメイン・サーバー | ログイン情報を知っていたなら、パスワードを変える |
辞めた人を疑うためではなく、お店の情報をきちんと管理するための手続きです。昔の依頼先や、手伝ってくれた知人に渡したままの権限がないかも、あわせて確かめましょう。
更新を後回しにしない
ホームページを作る仕組みや、その追加機能、パソコンやスマホのOSには、弱いところを直すための更新が出されます。更新しないままにしておくと、知られている弱いところを狙われやすくなります。
- パソコンとスマホのOS、ブラウザは、更新の知らせが来たら早めに入れる
- ホームページの管理画面で更新の知らせが出ていたら、放っておかない
- 使っていない追加機能は、外しておく
- 更新の前に、バックアップ（控え）が取れているかを確かめる
お店で使っている古いパソコンも見直しの対象です。更新の提供が終わったOSを使い続けていると、弱いところが直されないままになります。管理画面に入るのは、更新が続いている端末にしぼりましょう。
ホームページの仕組みの更新は、まれに表示が崩れる原因になることもあります。自分で行うのが不安な場合は、制作した人や保守を頼んでいる人に任せる方法もあります。保守で何をするかはホームページの保守って何をするの？で紹介しています。
フォームの迷惑投稿対策
問い合わせフォームには、機械的に送られてくる迷惑な投稿が届くことがあります。広告の書き込みや、怪しいリンクを貼った文章などです。次のような対策があります。
- 人が送っているかを確かめるしくみ（Googleの reCAPTCHA など）を入れる
- 人には見えない入力欄を置き、そこに入力があった送信を止める
- 短い時間にくり返し送られる送信を止める
- メールアドレスを、そのままの文字でページに載せない
対策を強くしすぎると、本当のお客さまが送りにくくなることもあります。入れたあとは、自分で送信テストをして、問題なく送れるかを確かめましょう。届いた迷惑投稿の中のリンクは、開かないようにしてください。フォーム全体の作り方は問い合わせが増えるボタンとフォームの作り方で紹介しています。
怪しいメールと、もしものとき
ホームページを持つと、次のようなメールが届くことがあります。
- 「ドメインの期限が切れます。今すぐ支払ってください」
- 「アカウントが停止されました。こちらから確認してください」
- 「ホームページに問題が見つかりました。ログインして確認を」
本物の知らせのこともありますが、偽物のページに誘ってパスワードやカードの情報を入力させるものもあります。メールの中のリンクからはログインせず、ふだん使っているブックマークや公式のアプリからログインして確かめましょう。分からないときは、契約している会社や制作した人に問い合わせるのが確実です。
おかしいと思ったら
ホームページの見た目が勝手に変わった、知らない投稿がある、ログインできない、といったときは、次の順で動きます。
- 関係するアカウントのパスワードを、別の安全な端末から変える
- 制作した人や、サーバーなど契約している会社に連絡する
- いつ何に気づいたかを、メモに残しておく
中小企業や個人事業向けのセキュリティ対策の情報は、IPA（独立行政法人情報処理推進機構）が公開しています。被害にあった場合の相談先も、公的機関の案内を確認してください。
まとめ
小さなお店のセキュリティの基本は、パスワードを使い回さず2段階認証を設定すること、アカウントを共有せず辞めた人の権限を外すこと、更新を後回しにしないこと、フォームの迷惑投稿に備えること、怪しいメールのリンクからログインしないことです。どれも一度整えれば、あとは時々見直すだけで続けられます。
更新や表示の確認を自分で続けるのがむずかしい場合は、Avrencalの月ごとの保守もご検討ください。