ホームページのセキュリティ対策にかかる費用【2026年版】

「セキュリティ対策と言われても、何にいくらかければいいのか分からない」——そう感じている経営者の方は少なくありません。結論から言うと、基本の守りは0円〜月数千円で固められます。一方、いざ改ざんやマルウェア感染が起きてからの復旧は1万1,000円〜5万5,000円と一桁高くなります。つまり、予防のほうが結局ずっと安いというのがこの分野の実情です。

この記事では、セキュリティ対策の費用を「無料でできる基本 → SSL → プラグイン・WAF → 保守契約 → 改ざん後の復旧」という階段の形で、金額つきで整理します。あわせて「うちのような小さな会社は狙われない」という思い込みを、出典のある事実で正します。

ホームページのセキュリティ対策費用(早見表)

まず、対策の段階ごとの費用を一覧にします。金額はいずれも一般的な目安で、サイトの規模や依頼先によって変わります。

段階	内容	費用の目安
① 無料の基本	更新・強いパスワード・不要プラグイン削除・バックアップ	0円(自分の手間のみ)
② サーバー標準	WAF・改ざん検知・自動バックアップ・無料SSL	0円(サーバー代に込み)
③ SSL(有料にするなら)	ドメイン認証 / 企業認証 / EV認証	年0円〜数千円 / 年1万〜8万円 / 年約20万円〜
④ セキュリティ対策(単独)	診断・監視・WAFなどをまとめて外注	月1,000円〜2万円
⑤ 保守契約(セキュリティ込み)	更新・監視・バックアップ・セキュリティを委託	月1万〜3万円
⑥ 改ざん後の復旧	駆除・改ざん修復・不正リダイレクト解除	1万1,000円〜5万5,000円〜(重度で8万円超)

出典: ホームページのセキュリティ対策について(らっくうぇぶ)、ホームページ維持・管理費用の相場(比較ビズ)、WordPressのハッキング・改ざん復旧(WP KEEPER)

表を上から見ていくと分かるのは、下の段(復旧)にいくほど急に高くなるということです。だからこそ、上の段の「無料〜安い予防」をきちんとやることに意味があります。以下、一段ずつ見ていきます。

① まずは無料でできる基本対策(0円)

お金をかける前に、まず手間だけで固められる守りがあります。これがセキュリティの土台で、実は効果がいちばん高い部分です。

• 本体・テーマ・プラグインを最新に保つ — 最も基本で、最も効く対策です。古いプラグインの穴を突かれる被害が多いため、更新を放置しないことが何より大切です。
• 強いパスワードにする — 目安は「10文字以上で、大文字・小文字・数字・記号をすべて使う」。使い回しをしないことも重要です。
• 使っていないプラグイン・テーマを削除する — 使っていない部品ほど更新を忘れがちで、そこが穴になります。
• バックアップを設定しておく — 万一のとき元に戻せるように、定期的に控えを取っておきます。

出典: らっくうぇぶ、WordPressセキュリティ強化の必須対策(AeyeScan)

これらは費用ゼロですが、継続的な手間がかかります。「その手間を人に任せたい」となったときに、後述する保守契約(⑤)が選択肢になります。裏を返せば、手間さえ惜しまなければ0円で基本の守りは成立するということです。

② サーバーに最初から付いている守り(多くは0円)

意外と知られていませんが、多くのレンタルサーバーには最初からセキュリティ機能が付いています。「ほとんどのレンタルサーバー会社にはセキュリティ対策が施されているため、最低限の対応は無料」とされています(出典)。

標準で付いていることが多いのは、次のような機能です。

• WAF(ワフ) — 不正なアクセスを自動でブロックする仕組み(壁の役割)
• 改ざん検知 — サイトが書き換えられていないか見張る
• 自動バックアップ — サーバー側で定期的に控えを取る
• 無料SSL — 通信の暗号化(次の③で説明)

ただし「サーバー代に含まれる項目もあれば、有償オプションになる項目もある」ので、自分の契約プランで何が付いているかを一度確認しておくとよいでしょう。

③ SSL(通信の暗号化)の費用

SSLは、サイトとの通信を暗号化して盗み見やなりすましを防ぐ仕組みです。URLが「https://」で始まり、鍵マークが付くあれです。認証のレベルで費用が大きく変わります。

種類	費用の目安	どんな場合に
無料SSL(Let's Encryptなど)	0円(多くのサーバーが標準提供)	一般的なコーポレートサイトはこれで十分なことが多い
ドメイン認証(DV) 有料版	年0円〜数千円	手軽に有料の証明を付けたい場合
企業認証(OV)	年1万〜8万円	会社の実在を証明したい場合
EV認証	年約20万円〜	金融・ECなど最高レベルの信頼表示が必要な場合

出典: 無料SSLと有料SSLの違い(Xserver)、SSLサーバ証明書 価格一覧(GMOグローバルサイン)、SSL化にかかる費用相場(発注ラウンジ)

正直にお伝えすると、多くの中小企業のコーポレートサイトは、無料SSL(0円)で必要十分です。企業認証やEVは「会社の実在をしっかり証明したい」場合の上乗せであって、必須ではありません。ここは無理に高いものを買う必要のないところです。

④ セキュリティ対策(単独)を外注する場合

診断・監視・WAFなどをまとめて外注すると、月額1,000円〜2万円が相場です(出典)。別の制作会社も「月額数千円から数万円程度が目安」としています(出典)。

幅が広いのは、サーバー標準機能でどこまで賄い、WAFや常時監視をどこまで足すかで変わるためです。ただ実際には、セキュリティだけを単独で契約するより、次の保守契約でまとめて任せる形が中小企業では一般的です。

⑤ 保守契約でまとめて任せる(月1万〜3万円)

セキュリティ対策は、それだけを切り出すより、保守契約の一部としてまとめて委託するのが現実的です。保守は「更新・バックアップ・監視・セキュリティ・軽微な修正」のまとめ売りで、セキュリティはその中に含まれます。

中小企業の公式サイトなら、この保守契約は月1万〜3万円が中心の価格帯です。たとえば月2万2,000円のプランに「本体・プラグイン更新+死活監視+定期バックアップ+ファイアウォール」、月3万3,000円のプランに「脆弱性対策+バックアップの取得と復元+安全なアップデート」といった内容が入っています(出典)。

保守に何がどこまで含まれるか、金額の内訳はどうなっているかは、WordPress保守費用の相場と内訳で詳しくまとめています。セキュリティを含めた月額の全体像を知りたい方は、あわせてご覧ください。

⑥ 改ざん・感染が起きた後の復旧費用(高い)

ここが、この記事でいちばんお伝えしたい部分です。被害が起きてからの復旧は、予防より一桁高くなります。 あるサービスの公開料金表(税込)を見てみましょう。

被害の内容	復旧料金(税込)
真っ白画面・エラー表示	1万1,000円
管理画面にログインできない	2万2,000円
バックアップから復元	2万7,500円
バックアップがない状態での復旧	5万5,000円
マルウェア感染・ファイル改ざん	5万5,000円
不正リダイレクト・不正広告の除去	5万5,000円
脆弱性を突かれた改ざんの修復	5万5,000円
サーバー移転を伴う復旧	8万2,500円

出典: WordPressのハッキング・改ざん復旧(WP KEEPER)。調査・診断は無料で、被害を確認してから見積りを出す流れが一般的です。

注目してほしいのは、「バックアップあり=2万7,500円」と「バックアップなし=5万5,000円」で2倍の差があることです。①で挙げた「無料でできるバックアップ設定」を、いざというときのために効いてくる保険だと考えると、その価値がよく分かります。

さらに、お金を払って復旧できても、停止していた期間の機会損失や、検索順位の下落、失った信頼は簡単には戻りません。だからこそ、無料〜月数千円の予防にきちんと手をかけるほうが、結果的にずっと安く済むのです。

中小企業サイトも狙われる、これが実態です

「うちのような小さな会社のサイトが狙われるはずがない」——よく聞く声ですが、事実はそうではありません。恐怖を煽るためではなく、判断材料として、出典のある数字をそのままお伝えします。

攻撃は自動で、無差別に飛んできます。 WordPressは世界のサイトの約4分の1で使われているCMSで、使われている数が多いぶん、攻撃者に狙われやすいという構図があります(出典)。あるセキュリティ会社の集計では、2025年4〜6月の3か月間で5億件を超える攻撃ログが観測されています。また、2024年に登録されたWordPressの脆弱性は8,223件(前年比68%増)で、その96%はプラグインが原因でした(出典)。これは「プラグインを最新に保つ」という①の基本が効く理由そのものです。

とくに狙われるのは、放置されたサイトです。 担当者が引き継がれないまま更新が止まったサイトや、一度作ったきりのキャンペーンサイトは「野良サイト」と呼ばれ、格好の的になります(出典)。専任の担当者がいない中小企業のサイトは、まさにこの「長く更新していない」状態になりやすいのです。

改ざんは「サイトが壊れる」だけでは終わりません。 むしろ気づきにくい悪用のほうが怖いところです。

• 不正リダイレクト・不正広告 — 訪問者を別の危険なサイトへ勝手に飛ばす
• マルウェア配布の踏み台 — 表示先をウイルスのダウンロード先に書き換えられる
• フィッシング — 偽の入力フォームを仕込まれ、個人情報を盗まれる
• スパムの踏み台 — サイトを乗っ取られ、迷惑メール送信や不正リンクの拡散に使われる

出典: GMOクラウド、Web担当者Forum

つまり被害に遭うと、自社が困るだけでなく、訪問者や取引先に迷惑をかける「加害者」の側にされてしまうのです。実際、JPCERT/CCの報告でも、Webサイトの不正改ざんは実害の出る攻撃の中で最も件数の多いインシデントとされ、IPA(情報処理推進機構)も脆弱性の公表時に「速やかな更新と改ざんの確認」を繰り返し呼びかけています(出典)。

こう書くと不安になるかもしれませんが、裏返せば、①②の無料の基本対策(更新・パスワード・バックアップ)をやっておくだけで、多くの自動攻撃は防げるということでもあります。

AIによる修正サービスとセキュリティの関係

最後に、私たちが開発しているようなAIによるサイト修正サービスと、セキュリティの関係を正直にお伝えします。

AIによる修正サービスは、作業の前後で自動的にバックアップを取る設計のものが多く、修正で壊してしまう事故に強いという特徴があります。「直したつもりが表示が崩れた」というときも、直前の状態にすぐ戻せる仕組みです。これは①で挙げたバックアップの考え方と同じ発想です。

ただし、はっきりお伝えしておくと、AIによる修正サービスはセキュリティ対策の代行ではありません。毎日サイトが落ちていないか見張る監視、外からの攻撃をブロックし続けるWAFの運用、改ざんの常時チェック、そして万一のマルウェア駆除は、あくまで保守サービスや専門の復旧サービスの役割です。AIが担えるのは「日々の修正作業を、事故を起こさず安全に行う」という部分だけです。この線引きは正直にお伝えしておきます。なお、Revibeは現在準備中のサービスです。

よくある質問

最低限、無料でどこまでセキュリティ対策できますか?

「本体・プラグインを最新に保つ」「強いパスワードにする」「使っていないプラグインを削除する」「バックアップを設定する」の4つは費用ゼロでできます。さらに多くのレンタルサーバーにはWAFや改ざん検知が標準で付いており、無料SSLも使えます。この土台だけで、無差別に飛んでくる自動攻撃の多くは防げます。

SSLは有料のものを買うべきですか?

一般的な中小企業のコーポレートサイトなら、無料SSL(0円)で必要十分なことが多いです。企業認証(OV)やEV認証は、会社の実在をしっかり証明したい場合の上乗せで、必須ではありません。まずは無料SSLで問題ないか確認し、必要になってから検討すれば十分です。

保守契約とセキュリティ対策は別に契約するのですか?

多くの場合、別々ではありません。中小企業では、セキュリティ対策は保守契約(月1万〜3万円)の一部としてまとめて委託するのが一般的です。保守の中身についてはWordPress保守費用の相場と内訳をご覧ください。

改ざんされてしまったら、復旧にいくらかかりますか?

被害の程度によりますが、真っ白画面のような軽度なら1万1,000円ほど、マルウェア感染や改ざんの修復は5万5,000円ほど、サーバー移転を伴うと8万円を超えることもあります(出典)。バックアップがあるかどうかで復旧費が2倍近く変わるため、日頃のバックアップが効いてきます。復旧は通常のサイト修正とは別の、専門的な作業になります。

バックアップは本当にそんなに大事ですか?

はい。復旧料金表を見ると「バックアップから復元=2万7,500円」に対し「バックアップなしの復旧=5万5,000円」と2倍の差があります(出典)。しかも、そもそもバックアップがなければ元の状態に戻せないこともあります。無料で設定できて効果の大きい、費用対効果の高い対策です。

まとめ

• セキュリティ対策の基本は0円〜月数千円で固められる。更新・強いパスワード・不要プラグイン削除・バックアップの4つが土台
• SSLは無料版(0円)で十分なことが多く、保守にまとめて任せるなら月1万〜3万円が中小企業の中心帯
• 改ざん・感染後の復旧は1万1,000円〜5万5,000円と一桁高い。だから予防のほうが結局ずっと安い
• 中小企業サイトも無差別に狙われるのが実態。だが、無料の基本対策だけで多くの自動攻撃は防げる

自分のサイトに今どんな対策が必要で、いくらが妥当なのか——まずは無料診断で、あなたのサイトの現状と改善点を確かめてみてください。

---

※本記事の相場は、当社調査(2026年7月時点の公開情報)にもとづく一般的な目安です。実際の費用や対策の要否は、サイトの規模・状態・依頼先によって変わります。個別の見積りや、被害を受けないことを保証するものではありません。