WAF とは？ 中小企業のHPに要るかの判断と確かめ方

WAF（ワフ）は、HPへの攻撃を手前で止める仕組みで、レンタルサーバーに付いているものから、クラウド型の有料サービス、機器として置くものまで幅広く存在します。「WAF を入れたほうがいい」と言われても、小さな会社のHPに本当に要るのか判断できない方も多くいます。

WAF でできることと、できないことを把握すると、自社のHPに必要な対策を過不足なく選べます。WAF を入れて安心してしまい、更新を止めてしまう失敗も防げます。

本記事では、WAF の定義とファイアウォールとの違い、防げることと防げないことを、IPA（情報処理推進機構）の資料をもとにまとめています。さらに、自社のHPに要るかの判断表と、レンタルサーバーの WAF の確かめ方・オンにする手順も紹介します。

WAF とは？ HPへの通信の中身を調べて攻撃を止める仕組み

WAF とは、ウェブアプリケーションの脆弱性を悪用した攻撃などから、ウェブアプリケーションを守るソフトウェアまたはハードウェアです（IPA「Web Application Firewall 読本 改訂第2版」）。ここでいうウェブアプリケーションは、WordPress や問い合わせフォーム、ネットショップのように、HPの上で動くプログラムを指します。

ここでは、WAF とほかの守りの仕組みの違いと、WAF の種類を2つの視点で解説します。

WAF とよく比べられる仕組みとの違いを、以下の早見表にまとめます。

仕組み	何を見るか	得意なこと	HPへの攻撃
ファイアウォール	送り元・送り先（IP アドレスやポート番号）	外に出す必要のない通信を止める	止められない
IPS（侵入防止システム）	さまざまな機器への通信の中身	OS の脆弱性やファイル共有サービスへの攻撃を止める	WAF ほどウェブアプリケーションに特化していない
WAF	HPへの通信の中身	ウェブアプリケーションへの攻撃を止める	止められる場合がある

※IPA「Web Application Firewall 読本 改訂第2版」2.2 をもとに作成

WAF は、設定された検出パターンをもとに、HPを見に来た人とHPの間の通信の中身を機械的に調べます。たとえば、データベースを外から勝手に操作する「SQLインジェクション」に特徴的な文字の並びがあれば、その通信を止めます。

ファイアウォール・IPS との違い

WAF は、名前に「ファイアウォール」と付いていても、普通のファイアウォールとは役割が違います。企業のHPはインターネットに公開する必要があり、ファイアウォールでアクセスを制限できないため、HPへの攻撃はファイアウォールでは防げないからです。

たとえば、問い合わせフォームに攻撃用の文字列を送り込む通信は、普通のHPの閲覧と同じ入口を通るため、ファイアウォールは通してしまいます。IPS も通信の中身を調べますが、IPA の資料では、IPS はさまざまな種類の攻撃を対象とし、WAF はウェブアプリケーションへの攻撃に特化している点が違うと説明されています。

ただし、3つの仕組みは置き換えるものではなく、役割を分けて組み合わせるものです。

WAF の種類

WAF には、置き場所によって、機器として置くもの・サーバーに入れるソフトウェア・サービスとして使うもの（クラウド型）があります。置き場所によって、導入の手間や費用、設定の自由度が変わるためです。

中小企業のHPで身近な2つの種類を、以下の表で比較します。

種類	例	特徴
レンタルサーバーに付いている WAF	サーバーの管理画面でオン・オフする	追加の費用がかからないことが多い。細かい調整はしにくい
クラウド型の WAF サービス	HPの手前に通信を通す有料サービス	検出パターンの更新や監視を任せられる。費用は見積もりで確かめる

たとえば、エックスサーバーや CPI の法人向けプランでは、WAF が標準の機能として案内されています（エックスサーバー「WAF設定」・CPI 仕様、2026年10月時点）。機器として置く WAF は、自社でサーバーを持つ大きなサイト向けで、中小企業のHPで選ぶことはまれです。

WAF で防げること・防げないこと

WAF で防げることと防げないことの線引きは、WAF を検討するうえでいちばん大事な点です。IPA の資料は、WAF は脆弱性を修正するといった根本的な対策ではなく、攻撃による影響を低減する対策だと明記しています。

ここでは、WAF が役に立つ場面と、WAF では防げないものを解説します。

WAF でできることと、できないことを、以下の表で比較します。

WAF でできること	WAF ではできないこと
攻撃らしい通信を見つけて止める	プログラムの弱点そのものを直す
すぐに直せない脆弱性への攻撃を減らす	検出パターンに当てはまらない攻撃をすべて止める
攻撃の記録（ログ）を残す	漏れたパスワードでの正規のログインを止める
複数のプログラムへの攻撃をまとめて減らす	古い PHP・WordPress・プラグインを安全にする

上記のとおり、WAF は「更新しなくてよくなる道具」ではなく、「更新までの間や、直しきれないところを守る道具」です。

WAF が役に立つ3つの場面

IPA の資料は、WAF の導入が有効な状況として、次の3つを挙げています。根本的な脆弱性対策がすぐにできない事情のある運営者が多いためです。

1. 直接管理できないウェブアプリケーションに対策したいとき：開発者の違う複数のプログラムをまとめて守りたい場合
2. 脆弱性の修正が難しいとき：開発した会社に改修を頼めない、サポートが終わったソフトを使っている場合
3. 攻撃をすぐに防ぐ必要があるとき：攻撃を受けていて、修正までの時間を待てない場合

たとえば、HPを作った制作会社が廃業して、独自に作られたフォームを直せる人がいない場合は、2つ目の場面に当てはまります。ただし、WAF で時間を稼いでいる間に、作り直しや引っ越しで根本の問題を解消することが前提です。

WAF では防げないもの

WAF では、サーバー側の土台の問題や、正規の手順を使った不正は防げません。WAF は通信の中身を検出パターンと照らし合わせる仕組みで、パターンに当てはまらない通信は通してしまうからです。

たとえば、サポートが終わった PHP や、PHP 本体の脆弱性は、WAF では直りません。2026年10月に公表された PHP の脆弱性への対応は、PHP の重大な脆弱性、中小企業のHPで今やることにまとめています。

エックスサーバーのマニュアルでも、WAF は不正アクセスを100%駆除することを保証するものではなく、最低限の予防策で、根本の対策としてプログラムを最新に保つ必要があるとしています（WAF設定）。

中小企業が WAF を使うメリットと懸念点

中小企業にとって WAF は、専任の担当者がいなくても使える守りの1つです。一方で、費用や誤検知など、導入の前に知っておくべき懸念もあります。

ここでは、メリットと懸念点を2つの視点で解説します。

中小企業にとってのメリット

中小企業が WAF を使うメリットは、更新が遅れたときの被害を減らせることです。兼任の担当者しかいない会社では、プラグインの更新が数週間遅れることがあり、その間の攻撃を WAF で減らせるからです。

主なメリットは、以下のとおりです。

• 更新までの間の攻撃を減らせる
• 問い合わせフォームなど、個人情報の入口を守れる
• 攻撃の記録が残り、異変に気づくきっかけになる
• レンタルサーバーの WAF なら、追加の費用なしで始められることがある

上記のメリットは、更新とバックアップを続けていてこそ生きるものです。

費用・誤検知・運用の懸念

WAF の懸念は、費用・誤検知・運用の手間の3つです。特に誤検知は、HPの機能を止めてしまうため、導入の前に知っておく必要があります。

IPA の資料では、WAF は通信を機械的に調べるため、正常な通信を攻撃と判定する「偽陽性」と、攻撃を見逃す「偽陰性」が起こり得ると説明しています。たとえば、問い合わせフォームの本文にプログラムのような文字列が含まれていると、正しい送信でも止められることがあります。

懸念ごとの考え方を、以下の表にまとめます。

懸念	考え方
費用	まずレンタルサーバーの WAF を使い、ネットショップなどは有料サービスを見積もる
誤検知	オンにしたら主な機能を試し、止まった項目だけを調整する
運用の手間	検出パターンの更新や監視を、サーバー会社や保守会社に任せられるかを確かめる

自社のHPに WAF が要るか確かめる方法

自社のHPに WAF が要るかは、HPの作りと扱う情報で決まります。プログラムで動かないHPと、個人情報やカード決済を扱うHPでは、WAF の優先度が大きく違うからです。

ここでは、判断表と、レンタルサーバーの WAF の確かめ方を解説します。

判断表で当てはまるものを数える

自社のHPに WAF が要るかは、次の表で当てはまるものを数えると判断できます。

確認すること	当てはまる場合
WordPress など、プログラムで動くHPか	WAF の意味がある（静的な HTML だけなら優先度は下がる）
問い合わせ・予約・応募のフォームがあるか	個人情報を守るため、WAF をオンにしておく
ネットショップで決済や会員情報を扱っているか	レンタルサーバーの WAF に加え、有料の WAF も検討する
プラグインやテーマの更新がしばらく止まっているか	更新を急ぎ、その間の守りとして WAF をオンにする
作った人がいなくなり、直せないプログラムがあるか	IPA の挙げる「修正が難しい」場面に当てはまる
サーバーの WAF がオンか分からない	まず確かめる

まとめると、WordPress で動く会社のHPなら、レンタルサーバーに付いている WAF はオンにしておくことが基本です。ネットショップの対策は、ネットショップに求められるセキュリティ対策で解説しています。

レンタルサーバーの WAF を確かめる

レンタルサーバーの WAF は、サーバーの管理画面で、どの項目がオンかを確かめます。項目ごとに切り替える方式では、一部の項目だけがオフになっていることがあるためです。

たとえば、エックスサーバーでは、サーバーパネルの WAF の設定画面で、次の6項目を切り替えられます（エックスサーバー「WAF設定」、2026年10月時点）。

項目	検知するもの
XSS 対策	スクリプトのタグが埋め込まれたアクセス
SQL 対策	データベースを操作する構文に当たる文字列
ファイル対策	.htaccess などサーバーの設定ファイルを含むアクセス
メール対策	メールのヘッダーに関係する文字列（フォームを悪用した大量送信）
コマンド対策	サーバーのコマンドに関係する文字列
PHP 対策	脆弱性の元になりやすい PHP の関数を含むアクセス

設定の反映には、新しいサーバーパネルで最大30分程度かかる場合があるとされています。ほかのサーバー会社でも管理画面に WAF の設定があることが多いので、マニュアルで場所と項目を確かめてください。サーバーを選ぶときの見方は、法人向けレンタルサーバーの比較と選び方にまとめています。

中小企業が WAF を選ぶときに見るポイント

有料の WAF サービスを検討する場合は、担当者がいなくても回るかを中心に選びます。WAF は入れたあとも、検出パターンの更新や誤検知への対応が続くためです。

ここでは、選ぶときに見るポイントを表で紹介します。

見るポイント	確かめること
導入の形	HPの手前に通信を通すクラウド型か、サーバーに入れる型か
検出パターンの更新	新しい攻撃への対応を、提供する会社が更新するか
誤検知のときの対応	止まった通信を確かめ、調整を頼めるか
通知とログ	攻撃を止めたときに知らせがあるか、記録を見られるか
サポート	日本語の窓口と受付時間
費用	サイトの数・通信量・監視の有無で料金がどう変わるか

※料金と機能は各社で違うため、見積もりと公式の説明で確かめてください

社内に設定を見る人がいない会社は、誤検知のときの対応まで任せられるかを重く見ましょう。

WAF をオンにする手順と注意点【5STEP】

レンタルサーバーの WAF は、次の5つの手順でオンにします。オンにしたあとにHPの主な機能を試さないと、誤検知でフォームが止まっていても気づけないためです。

ここでは、オンにする手順と、よくある失敗を紹介します。

1. バックアップを取る：設定を変える前の基本
2. WAF の設定画面を開き、今の状態を控える：どの項目がオンかを記録する
3. すべての項目をオンにする：またはサーバー会社がすすめる設定にする
4. 反映を待ってから、主な機能を試す：トップページ・問い合わせフォームの送信・管理画面のログイン・記事の保存・ネットショップなら注文の流れ
5. 動かないところがあれば、その項目だけを見直す：全部オフにしない

上記の手順を終えたら、設定を変えた日と項目を記録に残しておきましょう。

WAF でよくある失敗

WAF の失敗は、WAF そのものより、WAF への思い込みから起きます。WAF があるから大丈夫、誤検知が面倒だから切る、という判断が守りを弱くするからです。

よくある失敗は、以下のとおりです。

• 誤検知で WAF を全部オフにする：オフのまま忘れられ、守りがなくなります
• WAF があるから更新しない：WAF は更新の代わりになりません
• セキュリティプラグインと WAF を混同する：できることの違いはWordPress のセキュリティプラグインだけで足りる？で整理しています
• 改ざんのあとに WAF だけ入れる：すでに仕込まれたものは WAF では消えません

改ざんの疑いがある場合は、HPがおかしい？ 改ざんの前ぶれを症状別に確かめるチェック表で症状を確かめてください。

WAF の判断に迷ったときの相談先

WAF の設定そのものは管理画面で切り替えられますが、誤検知のときにどの項目を調整するか、有料の WAF が要るサイトかは、HPの中身を見ないと判断しにくい部分です。WAF は保守の作業の1つでもあるので、ほかの作業とまとめて考えると無駄が出にくくなります。

相談先の分け方は、以下のとおりです。

迷っていること	相談先
WAF の設定画面・項目の意味	サーバー会社のサポート
有料の WAF サービスの見積もり	WAF を提供する会社
WAF が要るか・更新とあわせた守り方	HPの保守・セキュリティの専門家

保守の作業と費用の見方は、ホームページ保守の費用相場と、含まれる作業の見方にまとめています。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

まとめ

• WAF とは、HPへの通信の中身を調べて、攻撃らしいものを止める仕組みです
• IPA の資料のとおり、WAF は根本的な対策ではなく被害を減らす対策で、更新とバックアップは別に必要です
• WordPress で動く中小企業のHPなら、レンタルサーバーに付いている WAF をオンにするのが基本です
• オンにしたら主な機能を試し、誤検知があっても全部オフにせず、項目ごとに調整します

まずは、サーバーの管理画面で WAF の各項目がオンになっているかを確かめましょう。