ロリポップ！での直し方ガイド

ロリポップ！レンタルサーバーのユーザー専用ページで、診断レポートの問題を直す手順です。メニューの名前は、2026年11月時点の公式マニュアルに合わせています。

作業の前に： .htaccess を書き換える前に、元の内容を控えてください。.htaccess の属性（パーミッション）は「604」にし、最後の行のあとに改行を入れます。書き方を誤ると、そのフォルダ以下が「500 Internal Error」になります。

通信の暗号化（HTTPS・証明書・HSTS）

証明書（独自SSL・無料）を有効にする

1. ユーザー専用ページの 「セキュリティ」 → 「独自SSL証明書」 を開きます。
2. 「SSLで保護されていないドメイン」で対象にチェックを入れ、「独自SSL（無料）を設定する」 を押します。
3. 5分ほどで「SSL保護有効」に変わります。

http を https に転送する

ユーザー専用ページに転送の設定はありません。「サーバーの管理、設定」 → 「ロリポップ！FTP」 で公開フォルダの .htaccess を開き（なければ「新規ファイル作成」で作ります）、次を追加して「保存する」を押します。

RewriteEngine On

# httpをhttpsに統一
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

WordPress の場合は、WordPress の「設定」→「一般」にある2つの URL も https:// に変えます。

HSTS

専用の設定項目はありません。.htaccess で設定できるかどうかは公式マニュアルでは確認できなかったため、次の1行を追加して試し、エラーになる場合は元に戻してサポートに確認してください。

Header always set Strict-Transport-Security "max-age=31536000"

古い暗号方式（TLS 1.0 / 1.1） の指摘は、利用者側では変更できません。サポートに問い合わせてください。

セキュリティヘッダー

「ロリポップ！FTP」で公開フォルダの .htaccess に次を追加します。エラー（500）になる場合は元に戻し、サポートか制作会社に相談してください。

<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
</IfModule>

あわせて 「セキュリティ」 → 「WAF設定」 で、対象ドメインが「有効」になっているかを確認します。無効になっていたら 「有効にする」 を押してください。検知の記録は「ログ参照」で見られます。

PHP の更新

1. 「サーバーの管理、設定」 → 「PHP設定」 を開きます。
2. 対象ドメインの版を新しいものに変え、「変更」 を押します。反映まで5〜10分ほどかかります。
3. サイトの表示、フォーム、管理画面を確認します。

PHP 7.1 より前の版から上げた場合は、元の版に戻せません。先に WordPress のテーマとプラグインが新しい PHP に対応しているかを、制作会社と確認してください。

公開されてはいけないファイル

1. 削除する。 「ロリポップ！FTP」で、レポートの「根拠」にある場所のファイルを削除します。
2. パスワードを変更する。 .env、wp-config.php のバックアップ、データベースの書き出しが見えていた場合は、書かれていたパスワードや API キーを変更します。
3. 再発を防ぐ。 公開フォルダの .htaccess に次を追加します。

<FilesMatch "^\.">
  Require all denied
</FilesMatch>
RedirectMatch 404 /\.(git|svn)(/|$)

ロリポップ！では、フォルダの中身の一覧は、もともと表示されない設定になっています。関係者だけが使うフォルダには、「セキュリティ」 → 「アクセス制限」 → 「新規作成」で、ID とパスワードを設定できます。

なりすましメール対策（SPF・DKIM・DMARC）

ロリポップ！のメールを使っている場合、設定はネームサーバーによって変わります。ユーザー専用ページに設定の画面はありません。

• ロリポップ！のネームサーバー（uns01.lolipop.jp など）を使っている場合： SPF・DKIM・DMARC は自動で設定されます。作業は不要です。
• ムームーDNS を使っている場合： DKIM は設定済みです。SPF と DMARC を、ムームードメインのコントロールパネルの「ムームーDNS」→ 対象ドメインの「カスタム設定」で、TXT レコードとして追加します。

（サブドメイン：空欄）  v=spf1 include:_spf.lolipop.jp ~all
（サブドメイン：_dmarc） v=DMARC1; p=none;

SPF のレコードがすでにある場合は、2つ目を作らず、既存のレコードに include:_spf.lolipop.jp を足します。DMARC は、レポートで自社のメールが正しく認証されていることを確かめてから、p=quarantine、p=reject へと強めてください（共通ガイド）。

DNS の設定（CAA・DNSSEC）

ロリポップ！のユーザー専用ページでは、DNS のレコードは編集できません。レコードを追加するには、ドメインを ムームーDNS に移し（「サーバーの管理、設定」→「ムームーDNSへ移行」）、ムームードメインのコントロールパネルの「カスタム設定」で追加します。

• CAA： 独自SSL（無料・Let's Encrypt）だけを使っている場合は 0 issue "letsencrypt.org" を登録します。有料の証明書も使っている場合は、その発行会社も追加が必要です。
• DNSSEC： ドメインを取得した会社での手続きが必要です。対応状況を確認してください。優先度は低めです。

WordPress をお使いの場合

「セキュリティ」 → 「海外アタックガード」 で、対象ドメインを 「有効にする」 にします。管理画面（/wp-admin/、/wp-login.php）、XML-RPC（/xmlrpc.php）、コメントの投稿への海外からのアクセスを止められます。

WordPress の更新やログインの保護は、WordPress の直し方ガイドをご覧ください。

バックアップ

自動でバックアップが取られるのは、ハイスピードとエンタープライズのプランです。それ以外のプランでは、有料の「バックアップ」オプション（7世代バックアップ）を 「サーバーの管理、設定」 → 「バックアップ」 から申し込めます。バックアップがない状態で更新や設定の変更をするのは危険です。先に用意してください。

公式マニュアル

• 独自SSL（無料）の設定・http を https に統一
• .htaccess について・PHP設定・WAF設定
• アクセス制限・海外アタックガード・バックアップ

直したあとは、もう一度診断して、問題が消えたことを確かめてください。