エックスサーバーでの直し方ガイド

エックスサーバー（Xserver レンタルサーバー）のサーバーパネルで、診断レポートの問題を直す手順です。メニューの名前は、2026年11月時点の公式マニュアル（新サーバーパネル）に合わせています。旧サーバーパネルでは、ボタンの名前が少し異なります。

作業の前に： .htaccess を書き換える前に、元の内容を控えてください。エックスサーバーや WordPress が自動で追加した行があるので、見覚えのない行も消さないでください。

通信の暗号化（HTTPS・証明書・HSTS）

証明書（無料独自SSL）を有効にする

1. サーバーパネルの 「SSL設定」 を開きます。
2. 対象のドメインの設定を 「ON」 にします。
3. 反映まで最大1時間ほどかかります。

証明書を有効にしただけでは、http のページは https に転送されません。続けて次の設定をします。

http を https に転送する（常時SSL化）

1. 「ドメイン設定」 で対象ドメインの詳細を開きます。
2. 「HTTPS転送設定」の 「HTTPSに転送する」 にチェックを入れ、「設定する」 を押します。

この項目が見当たらない場合は、「.htaccess編集」 で対象ドメインの編集画面を開き、先頭に次を追加して「設定する」を押します。

RewriteEngine On
RewriteCond %{HTTPS} !on
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

WordPress の場合は、WordPress の「設定」→「一般」にある「WordPress アドレス (URL)」と「サイトアドレス (URL)」も https:// に変えます。

HSTS

サーバーパネルに HSTS の専用項目は、公式マニュアルでは確認できませんでした。すべてのページが https で表示されることを確かめたうえで、「.htaccess編集」で次の1行を追加します。最初は max-age=300 で試し、問題がなければ1年に延ばしてください。

Header always set Strict-Transport-Security "max-age=31536000"

古い暗号方式（TLS 1.0 / 1.1） が指摘された場合は、利用者側では変更できません。エックスサーバーのサポートに問い合わせてください。

セキュリティヘッダー

「.htaccess編集」 で対象ドメインの編集画面を開き、次を追加して「設定する」を押します。この画面で編集できるのは public_html 直下の .htaccess です。

<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
</IfModule>

CSP（読み込み元の制限）は、書き方を誤ると表示が崩れるため、制作会社に依頼してください。考え方は共通ガイドにあります。

あわせて、「WAF設定」（セキュリティ）で、XSS・SQL・ファイル・メール・コマンド・PHP の各項目を有効にしておくと、攻撃の通信をサーバー側で止められます。反映まで最大30分ほどかかります。有効にしたあと、問い合わせフォームや管理画面の保存がエラーにならないかを確認してください。

PHP の更新

1. サーバーパネルの 「PHP Ver.切替」 を開きます。
2. 対象ドメインの編集（鉛筆のアイコン）を押し、「変更後のバージョン」 で「推奨」と表示されている版を選びます。
3. 「設定する」 を押します。
4. サイトの表示、フォーム、管理画面を確認します。問題が出たら元の版に戻し、制作会社に相談してください。

公開されてはいけないファイル

1. 削除する。 XServerアカウントの「ファイル管理」（ファイルマネージャ）か FTP で、レポートの「根拠」にある場所のファイルを削除します。
2. パスワードを変更する。 .env、wp-config.php のバックアップ、データベースの書き出しが見えていた場合は、書かれていたパスワードや API キーを変更します。
3. 再発を防ぐ。 「.htaccess編集」で次を追加します。

<FilesMatch "^\.">
  Require all denied
</FilesMatch>
RedirectMatch 404 /\.(git|svn)(/|$)

フォルダの中身が一覧で見えている場合は、そのフォルダに空の index.html を置いてください。関係者だけが使うフォルダには、「アクセス制限」 で対象フォルダを「ON」にし、「ユーザー設定」→「ユーザーIDを追加」で ID とパスワードを設定できます。

なりすましメール対策（SPF・DKIM・DMARC）

エックスサーバーのメールを使っている場合、サーバーパネルの「メール」にある3つのメニューで設定できます。

• 「SPF設定」： 対象ドメインを「標準設定」にします。Gmail からも同じアドレスで送っている場合は「Gmail許可」を追加します。SPF のレコードは1つのドメインに1つだけです。
• 「DKIM設定」： 対象ドメインの設定状況を 「ON」 にします。
• 「DMARC設定」： 対象ドメインの編集を開き、DMARC ポリシーを選んで「設定する」を押します。最初は 「何もしない」 とレポートの通知先を設定し、自社のメールが正しく認証されていることを確かめてから、「迷惑メールとして配送する」、「メールを配送しない」 へと強めます。

DNS をエックスサーバー以外で管理している場合は、各画面に表示されるレコードを、DNS の管理会社の画面に登録します。Google Workspace など別のメールサービスを使っている場合は、そのサービスの案内に従ってください。

DNS の設定（CAA・DNSSEC）

DNS のレコードは 「DNSレコード設定」 → 「DNSレコード設定を追加」 で追加します。ホスト名（ドメインそのものなら空欄）、種別、内容を入力して「追加する」を押します。

• CAA： 無料独自SSL（Let's Encrypt）だけを使っている場合は、内容に 0 issue "letsencrypt.org" を登録します。有料の証明書も使っている場合は、その発行会社も追加が必要です。種別に CAA が見当たらない場合や、どの会社を登録すべきか分からない場合は、サポートに確認してください。
• DNSSEC： ドメインを取得した会社での手続きが必要です。エックスサーバーで管理できるかはサポートに確認してください。優先度は低めです。

WordPress をお使いの場合

「WordPressセキュリティ設定」 で、次の保護を確認してください。

• 国外アクセス制限設定（ダッシュボード、XML-RPC API、REST API、wlwmanifest.xml）：初期状態で ON です。OFF になっていたら ON に戻します。XML-RPC の指摘は、これで国内以外からは止まります。
• ログイン試行回数制限設定：初期状態で ON です。
• 国外からのコメント・トラックバック制限：初期状態は OFF です。海外からのコメントが不要なら ON にします。

WordPress の更新やログインの保護は、WordPress の直し方ガイドをご覧ください。

バックアップ

エックスサーバーは、すべてのプランで自動バックアップを取っています（保持は14日間。一部の古いサーバーは7日間）。戻すときは 「自動バックアップの取得・復元」（データベースは「MySQLバックアップ取得・復元」）を使います。復元すると、バックアップより後に作ったファイルは消えるので、実行の前に制作会社と確認してください。

公式マニュアル

• 無料独自SSL設定・常時SSL化
• .htaccess編集・PHP Ver.切替・WAF設定
• SPF設定・DKIM設定・DMARC設定
• DNSレコード設定・WordPressセキュリティ設定

直したあとは、もう一度診断して、問題が消えたことを確かめてください。