WAFを有効にしていても、アプリの更新は必要です
サイトの管理を引き継ぐとき、「サーバーでWAFを有効にしているから、アプリの更新は急がなくても大丈夫」と考えてしまうことがあります。WAFは攻撃への備えになりますが、古いプログラムの不具合そのものを修正する機能ではありません。
エックスサーバーのWAFは、Webアプリケーションの弱点を狙う攻撃からサイトを保護するための機能です。サーバーパネルの「WAF設定」から、対策する項目を設定できます。WordPressに限らず、PHPなどで作られた独自の管理システムやフォームを運用する場合にも関係する設定です。
WAFの確認と更新の担当を、別々に記録する
公式マニュアルでは、不正アクセスを完全に防ぐことは保証しておらず、アプリケーションの更新やセキュリティ対応が必要と案内されています。WAFを有効にする作業と、利用しているプログラムを更新する作業は、両方を管理予定に入れておきたいところです。
クライアントサイトなら、WAFの設定状況とあわせて、アプリの更新を誰が担当するかを記録しておくと役立ちます。制作会社が更新するのか、運営者が対応するのかが曖昧だと、設定済みという安心感だけが残り、更新の確認が抜けやすくなります。
また、WAFがアクセスを検知すると、拒否されてエラーページが表示されます。設定後はサイトの表示だけでなく、フォームの送信や管理画面の保存など、普段使う操作も確認しておきましょう。エラーが出た場合は、発生したURLや操作、時刻を控えておくと調査時に状況を伝えやすくなります。
「WAFを設定したか」と「アプリを更新できているか」を別々に確認する。引き継ぎ用の管理メモにも、この2項目を分けて残しておくと確認しやすくなります。
参考：エックスサーバー公式マニュアル「WAF設定」（2026年10月25日確認）
