ConoHa WING での直し方ガイド

ConoHa WING のコントロールパネルで、診断レポートの問題を直す手順です。メニューの名前は、2026年11月時点の公式ご利用ガイドに合わせています。どの手順も、コントロールパネルにログインし、上部のメニューで「WING」を選んだ状態から始めます。

作業の前に： .htaccess を書き換える前に、元の内容を控えてください。「AddHandler」で始まる行は PHP の版の設定なので、消さないでください。

通信の暗号化（HTTPS・証明書・HSTS）

証明書（無料独自SSL）を有効にする

1. 「サイト管理」 → 「サイトセキュリティ」 → 「SSL」 タブ → 「無料独自SSL」 を開きます。
2. 「利用設定」を 「利用する」 にします。

ConoHa WING では、SSL を設定すると、http のページは自動で https に転送されます。.htaccess に転送の設定を自分で足すと、転送が繰り返されて表示できなくなることがあるので、追加しないでください。

WordPress の場合

「サイト管理」→ 「サイト設定」 → 「WordPress」 タブで対象の URL を開き、「かんたんSSL化」の 「SSL有効化」 を押します。WordPress の中の設定が https 用に変わります。

HSTS

専用の設定項目はありません。.htaccess で設定できるかどうかは公式ガイドでは確認できなかったため、次の1行を追加して試し、エラーになる場合は元に戻してサポートに確認してください。

Header always set Strict-Transport-Security "max-age=31536000"

古い暗号方式（TLS 1.0 / 1.1） の指摘は、利用者側では変更できません。サポートに問い合わせてください。

セキュリティヘッダー

1. 「サイト管理」→「サイト設定」→ 「応用設定」 タブ → 「.htaccess設定」 を開きます。
2. 鉛筆のアイコン（編集）を押し、次を追加して 「保存」 を押します。

<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
</IfModule>

エラー（500）になる場合は元に戻し、制作会社に相談してください。.htaccess の書き方は、ConoHa のサポートの対象外です。

あわせて「サイト管理」→「サイトセキュリティ」→ 「WAF」 タブで、「利用設定」を 「ON」 にします。必要な操作まで止められた場合は、「表示切替」で「ログ」を開き、該当の行の 「除外」 を押すと、その内容だけ通せます。

PHP の更新

1. 「サイト管理」→「サイト設定」→「応用設定」タブ → 「PHP設定」 を開きます。
2. 「PHPバージョン」の鉛筆のアイコン（編集）を押し、新しい版を選んで 「保存」 を押します。
3. サイトの表示、フォーム、管理画面を確認します。問題が出たら元の版に戻し、制作会社に相談してください。

公開されてはいけないファイル

1. 削除する。 「サイト管理」→ 「ファイルマネージャー」 で、レポートの「根拠」にある場所のファイルを削除します。
2. パスワードを変更する。 .env、wp-config.php のバックアップ、データベースの書き出しが見えていた場合は、書かれていたパスワードや API キーを変更します。
3. 再発を防ぐ。 「.htaccess設定」で次を追加します。

<FilesMatch "^\.">
  Require all denied
</FilesMatch>
RedirectMatch 404 /\.(git|svn)(/|$)

関係者だけが使うフォルダには、「サイトセキュリティ」→ 「ディレクトリアクセス制限」 タブで、フォルダを追加してユーザー名とパスワードを設定できます。

なりすましメール対策（SPF・DKIM・DMARC）

ConoHa WING のメールを使っている場合の手順です。

• SPF と DKIM： 「メール管理」 → 「メール設定」 で対象のメールアドレスを開くと、「DNS情報」に登録すべき内容が表示されます。DNS に登録されていない場合は、その内容を TXT レコードとして登録します（DNS が ConoHa なら次の「DNS の設定」の手順、ほかの会社ならその会社の画面で）。
• DMARC： 「メール管理」→ 「メールセキュリティ」 で、「認証失敗時設定」を 「ON」 にし、「迷惑メール」か「配送拒否」を選びます。「レポート通知」を「ON」にして通知先を設定すると、認証に失敗したメールの報告が毎日届きます。

いきなり「配送拒否」にすると、設定の漏れがあった場合に自社のメールが届かなくなります。まず「迷惑メール」とレポート通知で様子を見てから強めてください。

DNS の設定（CAA・DNSSEC）

メニューの 「DNS」 で対象のドメイン名を押すと、レコードの一覧が表示されます。鉛筆のアイコンで編集し、「＋」で行を追加して 「保存」 を押します。ネームサーバーが ConoHa のもの（ns-a1.conoha.io など）になっている場合だけ有効です。

• CAA： 公式ガイドに載っているレコードの種類は A・AAAA・CNAME・MX・NS・SRV・TXT で、CAA は含まれていません。CAA を設定したい場合は、サポートに確認してください。
• DNSSEC： ドメインを取得した会社での手続きが必要です。対応状況を確認してください。どちらも優先度は低めです。

WordPress をお使いの場合

「サイト管理」→「サイトセキュリティ」→ 「WordPressセキュリティ」 タブで、次を確認してください。

• 「海外アクセス制限」（ダッシュボード、XML-RPC-API、REST-API、wlwmanifest.xml など）：初期状態ですべて ON です。OFF になっていたら ON に戻します。
• 「ログイン制限」の「管理画面ログイン」：ON にすると、短い時間にログインの失敗が続いたときに止められます。
• 「コメント制限」：海外からのコメントが不要なら、「海外コメント/トラックバック」を ON にします。

WordPress の更新やログインの保護は、WordPress の直し方ガイドをご覧ください。

バックアップ

「サーバー管理」 → 「自動バックアップ」 で、過去14日分のバックアップから Web・メール・データベースを別々に戻せます。「リストア可」と表示された日付を選んで復元します。Web のファイルは別のフォルダ（backup_data_web）に戻されるので、そこから公開フォルダへ移す作業が必要です。手順は制作会社と確認してください。

公式ご利用ガイド

• 無料独自SSL・WordPress のかんたんSSL化
• .htaccess設定・PHP設定・WAF
• メールの SPF・DKIM・DNS
• WordPressセキュリティ・自動バックアップ

直したあとは、もう一度診断して、問題が消えたことを確かめてください。