本文へ移動
Cyber Cop
無料診断
読みもの一覧

直し方ガイド

さくらのレンタルサーバでの直し方ガイド

さくらのレンタルサーバをお使いの方向けに、診断で見つかった問題をサーバーコントロールパネルのどこで直すかを、項目ごとにまとめました。

・約9分で読めます

さくらのレンタルサーバのサーバーコントロールパネルで、診断レポートの問題を直す手順です。メニューの名前は、2026年11月時点の公式サポートサイトに合わせています。

作業の前に： .htaccess を書き換える前に、元の内容を控えてください。

通信の暗号化（HTTPS・証明書・HSTS）

証明書（無料SSL）を有効にする

  1. 「ドメイン/SSL」 → 「ドメイン/SSL」で、対象ドメインの 「設定」 → 「SSL設定」 を開きます。
  2. 「登録設定を始める」 → Let's Encrypt（無料SSL）の 「利用する」 を選びます。
  3. 同意のチェックを入れ、「無料SSL証明書登録」 を押します。発行まで数十分から数時間かかります。

http を https に転送する

  1. 同じドメインの「設定」→ 「基本設定」 を開きます。
  2. 「HTTPS転送設定」の 「HTTPSに転送する」 にチェックを入れ、「保存する」 を押します。

.htaccess や WordPress のプラグインでも転送を設定していると、転送が繰り返されて表示できなくなることがあります。転送の設定は1か所にまとめてください。

HSTS

コントロールパネルの HSTS の項目や、.htaccess での設定可否は、公式サポートサイトでは確認できませんでした。設定したい場合は、さくらインターネットのサポートに方法を確認してください。古い暗号方式（TLS 1.0 / 1.1） の指摘も、利用者側では変更できないため、サポートへの問い合わせになります。

セキュリティヘッダー

応答ヘッダーを .htaccess で追加できるかどうかは、公式サポートサイトでは確認できませんでした。次の内容を .htaccess に追加して試し、エラー（500）になる場合は元に戻して、サポートか制作会社に相談してください。.htaccess は 「Webサイト/データ」 → 「ファイルマネージャー」 で編集できます。

<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
</IfModule>

WordPress の場合は、制作会社に依頼してテーマ側でヘッダーを出力する方法もあります。

あわせて 「セキュリティ」 の WAF 設定で、対象ドメインの「設定」→ 「利用する」 → 「保存する」として WAF を有効にできます。有効にすると、プログラムのインストールや一部の保存操作が止められることがあります。その場合は、作業のあいだだけ無効にしてください。

PHP の更新

  1. 「スクリプト設定」 → 「言語バージョン設定」 を開きます。
  2. 「PHPのバージョン」で新しい版を選び、「保存する」 を押します。
  3. 「現在のバージョン」が変わったことを確かめ、サイトの表示、フォーム、管理画面を確認します。問題が出たら元の版に戻し、制作会社に相談してください。

公開されてはいけないファイル

  1. 削除する。 「Webサイト/データ」→「ファイルマネージャー」で、レポートの「根拠」にある場所のファイルを削除します。
  2. パスワードを変更する。 .env、wp-config.php のバックアップ、データベースの書き出しが見えていた場合は、書かれていたパスワードや API キーを変更します。
  3. フォルダの一覧表示を止める。 ファイルマネージャーで対象のフォルダを選び、「表示アドレスへの操作」→ 「アクセス設定」 →「indexファイル」タブで、「ファイルが存在しない場合の動作」を 「アクセスを拒否する」 にします（初期状態はこの設定です）。
  4. 関係者だけが使うフォルダに鍵をかける。 同じ「アクセス設定」の 「パスワード制限」 タブで「パスワード制限を使用する」にチェックを入れ、ユーザーとパスワードを追加します。

「.」で始まるファイルへのアクセスを止めるには、.htaccess に次を追加します。

<FilesMatch "^\.">
  Require all denied
</FilesMatch>
RedirectMatch 404 /\.(git|svn)(/|$)

なりすましメール対策（SPF・DKIM・DMARC）

さくらのレンタルサーバのメールを使い、DNS もさくらで管理している場合の手順です。

  • SPF： 「ドメイン/SSL」→ 対象ドメインの「設定」→ 「メールドメイン設定」 で、「SPFレコードの使用」を 「利用する」 にして「保存する」を押します。
  • DKIM と DMARC： 「メール」 → 「メールドメイン」 → 対象ドメインの「設定」→ 「DKIM設定」 を開きます。鍵を作成し、DKIM レコードの「利用する」と DMARC レコードにチェックを入れて保存します。
  • DMARC のポリシー： 「報告のみ行う（none）」「迷惑メールフォルダーに保存する（Quarantine）」「受信させない（Reject）」から選びます。最初は「報告のみ行う」で様子を見て、自社のメールが正しく認証されていることを確かめてから強めてください。

DNS をさくら以外で管理している場合は、チェックを入れても DNS には登録されません。画面に表示される内容を、DNS の管理会社の画面に TXT レコードとして登録してください。

DNS の設定（CAA・DNSSEC）

DNS のレコードは、「ドメイン/SSL」→ 対象ドメインの「設定」→ 「DNSレコード設定」 → 「追加する」 で追加します。ネームサーバーがさくらインターネットのものになっている場合だけ有効です。反映に数時間かかることがあります。

  • CAA： 無料SSL（Let's Encrypt）だけを使っている場合は 0 issue "letsencrypt.org" を登録します。有料の証明書も使っている場合は、その発行会社も追加が必要です。レコードの種類に CAA が見当たらない場合は、サポートに確認してください。
  • DNSSEC： ドメインを取得した会社での手続きが必要です。対応状況をサポートに確認してください。優先度は低めです。

WordPress をお使いの場合

「セキュリティ」 → 「国外IPアドレスフィルター」 で、「アクセス制限設定」を 「有効（制限する）」 にします。管理画面（/wp-admin/、wp-login.php）、コメントやフォーム、XML-RPC（xmlrpc.php）への国外からのアクセスを止められます。海外から管理画面を使う必要がある場合は、「接続許可IPアドレスリスト」に登録します。

WordPress の更新やログインの保護は、WordPress の直し方ガイドをご覧ください。

バックアップ

「Webサイト/データ」 → 「バックアップ」（バックアップ＆ステージング SnapUp）を、無料で利用できます（スタンダード以上のプラン）。「利用開始」を押しただけではバックアップは作られないので、続けてバックアップを作成するか、定期的に取るスケジュールを設定してください。

公式サポートサイト

直したあとは、もう一度診断して、問題が消えたことを確かめてください。