セキュリティ・弱点
クリニックのホームページ セキュリティチェックリスト（15項目）
「うちのホームページは安全なのだろうか」と気になっても、何から確かめればよいのか分からない。そんな院長先生や事務長の方に向けて、確認しておきたいことを15項目のチェックリストにまとめました。専門的な作業は必要ありません。印刷して、分かるところに印をつけていくだけで、医院のホームページの今の状態と、誰に何を聞けばよいかが見えてきます。
このチェックリストの使い方
このチェックリストは、ホームページの「健康診断の問診票」のようなものです。すべてに自信を持って答えられる必要はありません。むしろ、「分からない」と答えた項目こそが、次に確かめるべきところです。
- 各項目に「はい」「いいえ」「分からない」のどれかで印をつける
- 「いいえ」は、手入れが必要な可能性が高い項目
- 「分からない」は、制作会社やサーバー会社に問い合わせる項目
- 答えた日付を書いておき、次に見直すときに比べられるようにする
見る場所の欄に出てくる「管理画面」は、レンタルサーバー会社やWordPressの、契約者用の設定画面のことです。入り方が分からない場合は、それ自体を「分からない」として印をつけてください。
チェックは、院長おひとりで抱え込まず、事務長や更新を担当しているスタッフと一緒に行うのがおすすめです。普段ホームページを触っている人のほうが、管理画面の場所や、制作会社とのやり取りの経緯をよく知っていることがあります。役割の違う人が一緒に見ることで、「誰かが見ているだろう」という思い込みにも気づきやすくなります。
答えが分かったら、根拠も一緒に残す
「はい」と答えた項目には、どの画面で確かめたか、誰に聞いたかを一言添えておきましょう。次に見直すとき、同じ場所をすぐに確かめられます。
ホームページのセキュリティ 15項目チェックリスト
大きく分けて、「部品の古さ」「通信と住所」「入口の鍵」「控えと連絡」の4つの観点で並べています。上から順に見ていくと、話がつながりやすくなります。
| 番号 | 確認すること | 見る場所・聞く相手 |
|---|---|---|
| 1 | PHP（ホームページを動かすプログラムの土台）のバージョンが、サポート中のものか | レンタルサーバーの管理画面 |
| 2 | PHPが、2026年10月の弱点の修正版（8.5.12／8.4.27／8.3.36／8.2.35）以降になっているか | レンタルサーバーの管理画面、制作会社 |
| 3 | WordPress本体が、案内されている新しい版に更新されているか | WordPressの管理画面の更新のお知らせ |
| 4 | 追加機能（プラグイン）が更新されていて、使っていないものが残っていないか | WordPressの管理画面のプラグイン一覧 |
| 5 | 見た目のデザイン部品（テーマ）が更新されているか | WordPressの管理画面、制作会社 |
| 6 | アドレス欄に鍵マークが表示され、「保護されていない通信」と出ないか | ブラウザのアドレス欄 |
| 7 | 鍵マークのもとになる証明書（SSL証明書）の期限と、更新の担当が分かっているか | サーバー会社、制作会社 |
| 8 | ドメイン（ホームページの住所）の名義が医院になっているか | ドメインの契約先、制作会社 |
| 9 | ドメインとレンタルサーバーの更新時期と、支払い方法が分かっているか | 契約書、更新案内のメール |
| 10 | 管理画面のパスワードを誰が知っているか把握し、退職者が使っていたものを変えたか | 院内の管理表 |
| 11 | 管理画面に入る人ごとに、別々のアカウントを使っているか | WordPressの管理画面のユーザー一覧 |
| 12 | 問い合わせ・予約フォームの送信内容が、暗号化された通信で送られているか | フォームのページの鍵マーク、制作会社 |
| 13 | ホームページの控え（バックアップ）が定期的に取られ、どこにあるか分かっているか | サーバー会社、制作会社 |
| 14 | ホームページがおかしいと気づいたときの連絡先と、連絡する人が決まっているか | 院内の連絡表 |
| 15 | 夜間や休診日に何か起きたとき、受け付けてくれる窓口があるか | 保守の契約内容 |
1と2のPHPについては、IPA（情報処理推進機構）の注意喚起（2026年10月21日）でも取り上げられた話題です。弱点はWordPressではなくPHP本体にあるため、3〜5のWordPress側が新しくても、1と2は別に確かめる必要があります。なお、PHP 8.1以前はサポートが終わっていて、公式の修正版がありません。
あなたのクリニックのホームページは大丈夫？
アドレスを入れるだけで、ニュースになった弱点に当てはまりそうか・鍵マークは大丈夫かなどを約10秒で自動診断します。
項目ごとの補足：つまずきやすいところ
15項目の中でも、よくご質問をいただく項目について補足します。
1・2 PHPのバージョン
多くのレンタルサーバーでは、PHPのバージョンは契約者が管理画面で選ぶ仕組みです。制作会社が自動で上げてくれているとは限りません。画面の見方は「PHPのバージョンを確認する方法」の記事で詳しくご紹介しています。
PHPのバージョンの確かめ方はPHPのバージョンを確認する方法をご覧ください。バージョンを上げる前には、ホームページが正しく動くかの確認と、控えの用意をしておくと安心です。
4 使っていない追加機能
昔入れたまま使っていない追加機能も、更新されないまま残っていると弱点になり得ます。使っていないものは、制作会社と相談のうえで整理すると、手入れの手間も減らせます。
8 ドメインの名義
開業時に制作会社がまとめて取得したため、ドメインの名義が制作会社のままになっていることがあります。名義の確かめ方は「ドメインの名義を確認する方法」の記事でご紹介しています。
13 バックアップ
控えが「あるはず」と思っていても、実際には取られていなかったり、何年も前のものしかなかったりすることがあります。いつの時点の控えが、どこにあるかまで確かめておくと安心です。
見た目では分からない異常のサインについてはホームページが乗っ取られていないか確認する方法、控えの取り方についてはホームページのバックアップの取り方で詳しく解説しています。
「分からない」が多かったときの進め方
初めてこのチェックリストを使うと、「分からない」がたくさん並ぶことも珍しくありません。それは医院の落ち度ではなく、これまで確かめる機会がなかったというだけのことです。次の順番で進めると、少しずつ印が埋まっていきます。
- 分からない項目を書き出す「分からない」に印がついた項目の番号を、1枚の紙にまとめます。
- 聞く相手ごとに分ける見る場所・聞く相手の欄を見て、制作会社に聞くもの、サーバー会社に聞くもの、院内で確かめるものに分けます。
- まとめて問い合わせる制作会社やサーバー会社には、番号つきの質問をまとめて1回で送ります。何度もやり取りするより、相手も答えやすくなります。答えにくそうな項目は、後日でよいので書面で返してほしいと添えておくと、記録としても残ります。
- 答えを書き込んで保管する返ってきた答えをチェックリストに書き込み、日付を入れて保管します。次に見直すときの出発点になります。
制作会社と連絡が取れない、答えがはっきりしないといった場合は、制作会社と連絡が取れない時の対処法も参考にしてください。
どのくらいの間隔で見直せばよいか
一度確かめて終わりではなく、定期的に見直すことで、ホームページの状態を保ちやすくなります。項目によって、見直しの目安を変えると負担が軽くなります。
| 見直しの目安 | 対象の項目 | ひとこと |
|---|---|---|
| 毎月 | 3・4・5（WordPress本体・追加機能・テーマの更新）、6（鍵マーク） | 更新のお知らせが出ていないかを見るだけでも違います |
| 半年ごと | 1・2（PHP）、10・11（パスワードとアカウント）、13（控え） | スタッフの入れ替わりの時期に合わせると忘れにくくなります |
| 年に一度 | 7・8・9（証明書・ドメイン・契約の更新）、14・15（連絡体制） | 契約の更新月に合わせて確かめるのがおすすめです |
| 気になる知らせがあったとき | 1〜15のすべて | 大きな弱点が報じられたときは、時期にかかわらず見直します |
毎月の確認は、慣れれば数分で終わることもあります。院内の当番表に組み込んでおくと、続けやすくなります。
また、見直しの結果は毎回同じ用紙に書き足していくと、変化が分かりやすくなります。前回「分からない」だった項目が「はい」に変わっていれば、それだけ医院のホームページの状態がつかめてきたということです。反対に、前回「はい」だった項目が「いいえ」に変わっていたら、契約や担当者の変化など、何かきっかけがなかったかを振り返ってみてください。
手が回らないときは、専門家と一緒に
15項目を院内だけで見続けるのは、診療と並行すると負担が大きいかもしれません。その場合は、チェックリストのうち「医院が把握しておくこと」（名義、連絡先、パスワードの管理）と「専門家に任せること」（PHPやWordPressの更新、控えの取得）を分けて考えると、無理なく続けられます。
HPドクターは、クリニック向けのホームページ保守サービスです。担当制で、PHPやWordPressの更新、控えの管理、緊急時の24時間受付などをお手伝いします。月額10,000円〜30,000円（税別）、初期費用0円で、今の制作会社との契約はそのままでもご利用いただけます。まずは無料の自動診断でこのチェックリストの一部を確かめ、気になる点があれば専門家による無料のセカンドオピニオンにご相談ください。
ホームページにも、セカンドオピニオンを
今の制作会社との契約はそのままで、専門家が無料で詳しく確認し、「誰が何を直せばよいか」を制作会社にそのまま渡せる形でお送りします。
無料でセカンドオピニオンを受けるよくあるご質問
15項目すべてを院内で確認しなければいけませんか？
すべてを院内で行う必要はありません。分からない項目は、制作会社やサーバー会社に問い合わせたり、専門家に任せたりして構いません。大切なのは、誰が見ているかを医院が把握していることです。
WordPressを新しくしていれば、PHPは気にしなくてよいですか？
WordPressとPHPは別の部品です。2026年10月の弱点はPHP本体にあるため、WordPressを新しくしていてもPHPが古ければ対象になり得ます。項目1・2は別に確かめてください。
ホームページがWordPressで作られているか分かりません。
制作会社に問い合わせるのが確実です。WordPress以外の仕組みでも、PHPのバージョンや鍵マーク、ドメインの名義、控えなど、多くの項目はそのまま使えます。
チェックの結果「いいえ」が多かった場合、作り直しが必要ですか？
多くの場合、作り直しまでは必要なく、PHPやWordPressの更新、設定の見直しで対応できます。まずは無料の自動診断（/check）やセカンドオピニオンで、何から手をつけるとよいかを確かめてみてください。
どのくらいの頻度で見直せばよいですか？
更新のお知らせや鍵マークは毎月、PHPやパスワードは半年ごと、契約や連絡体制は年に一度が目安です。大きな弱点が報じられたときは、時期にかかわらず見直してください。
この記事は、クリニックのホームページの保守を担当する株式会社Canvi「HPドクター」編集部がまとめました。運営会社は、医療法人・医療系企業の営業・採用・教育を支援する「MedLead」も提供しています。
