1. 概要（Executive Summary）
Webサイトの保守は、あれば便利な追加サービスではありません。サーバー、ドメイン、SSL証明書、CMSが連携する仕組みを動かし続けるための最低限の運用費です。車を買ってから一度もエンジンオイルを交換しなければどうなるかは、誰でも想像できます。Webサイトも同じように傷みます。ただし、その過程が目に見えにくいだけです。
まず、保守費用の目安からお伝えします。韓国国内の中小企業向けWebサイトでは、月額保守はおおむね5万～50万ウォンで契約されます。コンテンツ修正だけなら下限に近く、セキュリティ点検、監視、障害対応まで含めると上限に近づきます。サイト規模や事業者による差が大きいため、絶対的な相場ではなく、見積もりを読むための目盛りとして考えてください。詳しい内訳は第5章で説明します。
この記事が答える質問は3つです。放置すると実際に何が起きるのか。セキュリティは最低限どこまで必要か。外部へ任せる場合、契約書に何を書くべきか。それぞれ第2章、第3章、第4～6章で扱います。
要点
制作費は一度支払うお金で、保守費はその投資を守るお金です。数百万ウォンをかけたWebサイトでも、SSL証明書が切れた瞬間に「この接続ではプライバシーが保護されません」という警告画面の裏へ消えてしまいます。
事故後の復旧費は、予防費を必ず上回ります。不正侵入を受けたサイトのマルウェア除去、再構築、信頼回復にかかる費用と時間を考えれば、月数万ウォンの定期点検は安い保険です。
2. 放置したWebサイトで起きること
放置されたWebサイトは少しずつ古くなり、ある日突然事故として表面化します。流れもよく似ています。誰も見ていない間に証明書が期限切れになり、古いプラグインへボットが侵入し、ドメイン更新メールが迷惑メールに埋もれたまま期限を過ぎます。順に見ていきましょう。
2.1 ブラウザが先に訪問者を追い返す：SSLの期限切れ
SSL証明書が切れると、訪問者はWebサイトではなく、「この接続ではプライバシーが保護されません」という全面警告を目にします。社内事情を知らない人にとって、これは「危険なサイト」という意味です。前の画面へ戻り、そのまま再訪しません。
無料のLet’s Encrypt証明書は有効期間が90日なので、自動更新が欠かせません。有料証明書も、支払担当者が変わったり通知メールを見落としたりすれば失効します。更新担当を決めていないサイトでは、いつか警告画面が表示されます。
2.2 古いCMSは公開された侵入経路
攻撃者が自社だけを狙っていると考えるのは誤りです。実際には、自動化されたボットがインターネット全体を巡回し、既知の脆弱性が残る古いサイトを探しています。WordPressプラグインの欠陥が公開された時点で、未更新のサイトは鍵のかかっていない倉庫になります。
侵入後は、Webシェルでサーバーを乗っ取る、ギャンブル・成人向けサイトへのスパムリンクを本文に隠す、訪問者を別のサイトへ転送するなどの被害が起きます。運営者が気づくのは数か月後、「会社名で検索すると見覚えのないページが出る」と連絡を受けたときです。
2.3 失効したドメインは取り戻せないことがある
ドメインは永久所有ではなく利用権です。更新を逃し、猶予期間も過ぎると、第三者がそのアドレスを取得できます。登録時のカードが失効している、通知先の担当者が退職した、登録メールが使えない、といった原因がよくあります。サーバーは費用をかければ再構築できますが、失ったドメインはお金でも戻らない場合があります。長年積み上げた検索評価と、名刺や看板に印刷したアドレスが一度に失われます。
2.4 古い情報は静かに信用を削る
事故に至らなくても、放置の跡は訪問者に見えます。3年前の日付が付いた「新着情報」、退職者が残る組織図、押すと404になるメニュー、古い電話番号。訪問者は会社がまだ営業しているかどうかから疑い始めます。取引前にまずWebサイトを確認する時代では、古いサイトがない方がましという場面もあります。
2.5 検索エンジンも放置を見抜く
検索順位も下がります。リンク切れ、遅い応答、SSL失効、更新されないコンテンツは、すべて低評価につながる要素です。不正侵入でスパムページが作られるとさらに深刻です。Googleが検索結果に「このサイトはハッキングされている可能性があります」と表示し、会社名で検索してもギャンブル関連ページが先に出ることがあります。マルウェア除去、再審査申請、順位回復には数か月かかります。
事故は重なって起きる
SSL失効に誰も気づかなかったなら、そのサイトにはバックアップや監視もない可能性があります。管理の空白は一か所だけに現れません。
そのため、ハッキング復旧の依頼の多くが「バックアップがないので最初から作り直す」再制作になります。復旧費ではなく、制作費を二度払うことになります。
3. セキュリティの基本：SSLからバックアップまで
中小企業のWebサイトは、5つの基本で多くの事故を防げます。HTTPSの維持、バックアップと復旧テスト、管理者アカウント管理、更新、Webアプリケーションファイアウォールです。高価なセキュリティ製品の話ではなく、現在のサーバーで実行できることばかりです。
3.1 HTTPSは「有効にする」ものではなく「維持する」もの
制作時にSSLを設定しただけでは終わりません。次の3点を確認します。
- 自動更新の動作確認：Let’s Encryptなら更新スクリプト（cron）が実際に動き、直近の成功ログが残っているか確認します
- 期限通知の二重化：30日前の通知を個人メールだけでなく、共有メールやメッセージチャンネルでも受け取ります。担当者が変わっても通知が届く仕組みが必要です
- 更新後の反映確認：証明書ファイルだけ更新され、Webサーバーが再読み込みされていない例があります。更新後はブラウザで実際の有効期限を確認します
3.2 そのバックアップ、本当に復元できますか？
一度も復元していないバックアップは、使えると確認されたバックアップではありません。ファイルが存在することと、そこからサイトを戻せることは別です。事故当日にDBダンプが途中で壊れていた、ファイルだけでDBがなかった、圧縮ファイルを開けなかったと判明する例があります。
- ファイルとDBを一緒に：Webサイトはソースファイルとデータベースで構成されます。片方だけでは復旧できません
- サーバー外へ保管：同じサーバー内のバックアップは、サーバー障害や侵入時に一緒に失われます。別のサーバーかクラウドストレージへ保存します
- 復旧リハーサル：四半期に一度、バックアップからテスト環境へ実際に復元します。そこで要した時間が、障害時の現実的な復旧時間です
3.3 管理者アカウント：最も安い侵入経路
ボットが最初に試すのは高度な攻撃ではなくログインです。adminというIDに一般的なパスワードを繰り返し試します。アカウント管理だけでも大きな入口を一つ閉じられます。
- admin、administratorというIDを使わない。総当たり攻撃の多くはIDの推測から始まります
- 退職者や契約終了した事業者のアカウントはすぐ削除し、四半期ごとに一覧を整理します
- 管理画面に二要素認証を設定し、可能であれば接続元IPも制限します
- 複数人で1つのアカウントを共有しない。事故時に誰が何をしたか追跡できません
3.4 更新を先延ばしにする代償
更新対象はCMS本体とプラグインだけではありません。サーバーのPHPなど実行環境も含まれます。PHPにはバージョンごとにセキュリティサポート期限があり、たとえばPHP 7.4は2022年11月以降セキュリティ修正が提供されていません。サポート終了版では、新しい脆弱性が見つかっても塞ぐ手段がありません。
「更新でサイトが壊れるのが怖い」という不安は理解できますが、順序を守れば管理できます。先にバックアップし、更新を適用し、主要ページの動作を確認する。この3段階を月1回繰り返すのが、保守契約の更新作業です。
3.5 Webアプリケーションファイアウォールは意外と導入しやすい
Webアプリケーションファイアウォール（WAF）は、攻撃パターンに合う通信をサイトの手前で遮断します。大企業だけのものではありません。Cloudflareの無料プランにも基本的な攻撃防御とトラフィック制御があります。韓国のKISAは中小企業向けに無料WAF「CASTLE」とWebシェル検知ツール「WHISTL」を提供しています。ホスティング会社が独自のWAFを用意している場合もあるため、まず現在の契約を確認しましょう。
目標は完璧ではなく「狙いやすい標的」から外れること
侵入を100％防ぐ仕組みはありません。ただし自動化ボットは、最も弱いサイトから攻撃します。5つの基本を守るサイトは、攻撃対象の優先順位が下がります。
侵入されても、バックアップと復旧手順があれば数日間の復旧作業で終えられます。なければ再制作プロジェクトになります。
4. 保守の範囲と頻度
保守は大きく4つに分かれます。コンテンツ修正、技術更新、監視、障害対応です。制作会社とのトラブルの多くは、どこまでが契約範囲か決めていないことから起きます。見積もりを取る前に、自社が何を任せたいかをこの4分類で整理すると話が早く進みます。
4.1 どこまでが保守なのか
- コンテンツ修正：文章・画像の差し替え、ポップアップ・バナー掲載、投稿管理。新規ページ制作やデザイン変更は通常別見積もりです。契約書で最も曖昧になりやすい境界です
- 技術更新：CMS本体、プラグイン、サーバーパッケージの定期更新とセキュリティパッチ
- 監視：接続可否、応答速度、SSL・ドメイン期限、バックアップ成功を確認する作業。障害を「顧客からの連絡で初めて知る」状態から抜け出せます
- 障害対応：接続不能、不正侵入、エラー発生時の原因調査と復旧。対応速度の約束は第6章のSLAで扱います
4.2 項目別の推奨頻度
| 項目 | 主な作業 | 推奨頻度 |
|---|---|---|
| 稼働監視 | 接続状態・応答速度を自動監視し、停止時に通知 | 常時（自動） |
| バックアップ | ファイル・DBを保存し、サーバー外へ保管 | 週1回以上、更新が多ければ毎日 |
| 復旧テスト | バックアップからテスト環境へ実際に復元 | 四半期に1回 |
| 更新 | CMS本体・プラグイン更新、セキュリティ修正 | 月1回、緊急修正は即時 |
| SSL・ドメイン確認 | 期限と更新状態を確認 | 月1回＋自動通知 |
| コンテンツ修正 | 文章・画像・ポップアップを差し替え | 随時（契約範囲内） |
| 点検レポート | 作業内容、問題、トラフィックの要約を共有 | 月1回 |
4.3 サイトの性格が頻度を決める
表は出発点です。会社案内サイトなら週1回のバックアップで足りる場合がありますが、注文、予約、会員データが毎日増えるサイトは毎日が基本です。基準は単純です。「1日分のデータを失ったら、どれほど困るか」を考え、困る分だけ間隔を短くします。
5. 保守費用の仕組み
料金体系は2つです。都度精算と月額契約。年に数回しか修正しないなら都度精算が安く、月1回以上の作業や監視・バックアップを任せたいなら月額が向いています。この分岐を先に決めるだけで、見積もりを比較しやすくなります。
5.1 都度精算：使わなければ0円、ただし見守る人も0人
依頼があるときだけ作業し、その都度支払う方式です。文章・画像の差し替えは1件数万ウォン程度、機能に関わる作業は工数で見積もられます。固定費がない一方で、誰もサイトを見守らないという構造的な弱点があります。バックアップも監視も契約外なので、第2章の放置リスクが残ります。この方式を選ぶなら、最低でもバックアップと期限通知は自社で自動化してください。
5.2 月額プランの比較
月額契約は範囲に応じておおむね3段階です。次の金額は韓国市場でよく見られる水準を目安として示したもので、サイト構成と事業者によって変わります。
| 種類 | 月額の目安 | 含まれる範囲 | 向いているサイト |
|---|---|---|---|
| 都度精算 | 月額なし、1件数万ウォン～ | 依頼時の修正のみ | 年1～2回の修正、自社でバックアップ可能 |
| ライト | 月5万～15万ウォン前後 | 小規模修正＋バックアップ＋基本点検 | 会社案内サイト |
| スタンダード | 月20万～50万ウォン前後 | 月間修正回数の保証＋更新＋監視＋障害対応 | 問い合わせ・予約が売上につながるサイト |
| 専任型 | 月100万ウォン以上 | 企画・開発要員を常時確保し、機能改善も含む | EC・Webサービス |
5.3 見積書で分けて確認する3項目
第一に、ホスティング・ドメイン料金と保守料金を分けて見ます。サーバー代を保守費に混ぜて高く見せる見積もりもあれば、保守費にホスティングが含まれると思い込み二重払いする例もあります。第二に、修正回数が「無制限」なら条件を確認します。無制限は通常、厳しい範囲制限とセットです。第三に、範囲外作業の単価があるか確認します。時間単価や1件単価を先に決めれば、追加依頼のたびに争わずに済みます。
制作段階の費用構造も知りたい方は、Webサイト制作費用のガイドをご覧ください。制作見積もりと保守見積もりでは、見るポイントが異なります。
「1年間無料保守」の落とし穴
制作契約に付く「1年間無料保守」は、多くの場合、納品時点の不具合を直す瑕疵対応を意味します。コンテンツ修正やセキュリティ更新は含まれないことがあります。
契約前に無料期間の範囲を文書で確認してください。「無料」という言葉だけを信じて1年間放置すると、期間終了時には1年分の更新がたまっています。
6. 制作会社とSLAを結ぶ方法
SLA（Service Level Agreement）は大げさな書類ではありません。「何か起きたとき、いつまでに、何をするか」を数字で決めることです。「誠実に対応する」という文言は、紛争時に何も保証しません。5項目を数値で記載します。
6.1 契約書に数値で書く5項目
- 初動応答時間：依頼受付から何時間以内に最初の返信をするか。営業時間基準か24時間基準か、夜間・週末の障害をどう受け付けるかまで決めます
- 復旧目標：サイト全体が停止した場合、何時間以内に戻すか。全停止、一部機能エラー、通常問い合わせのように重要度を分けると明確です
- バックアップ頻度と保管：どの頻度で、どこへ、何世代保管するか。「バックアップあり」ではなく「週1回、外部ストレージ、直近4世代」と書きます
- ソースコードとアカウントへのアクセス：ソースのコピー、サーバー、ドメイン、管理者アカウントを誰が所有するか明記します
- 範囲外作業の単価：契約外の依頼について、時間単価または1件単価を先に合意します
6.2 ソースとアカウントは会社の資産
特に深刻なのは、保守会社が廃業・音信不通になり、ドメインが業者名義で、サーバー情報も業者しか知らない状態です。サイトが表示されていても変更できません。ドメイン登録者は必ず会社名義にし、サーバーとCMS管理者の情報も社内で保管します。ソースコードのコピーを定期的に受け取る条項があれば、業者変更時の交渉力も保てます。
事業者を選ぶ段階なら、Web制作会社の選び方ガイドもご覧ください。保守能力は制作実績だけでは判断しにくいため、別の確認質問が必要です。
引き継ぎ条項の一文が会社を守る
契約書に「契約終了後30日以内に、ソースコード、DB、アカウント情報の一切を引き渡す」と入れてください。この条項がなければ、業者変更時に引き継ぎを交渉材料にされる場合があります。
信頼できる会社はこの条項を嫌がりません。ためらう反応そのものが、会社を見極めるサインになります。
7. まとめとチェックリスト
7.1 今日30分で確認できる6項目
この記事を6つの行動にまとめます。すべて今日確認できます。
- SSLの期限：ブラウザのアドレスバーから証明書の期限を確認します。残り30日未満なら、今すぐ更新担当者を決めます
- ドメインの期限と名義：WHOISで期限と登録者が会社名義か確認します
- 最新バックアップ：最終バックアップの日時と、サーバー外に保存されているかを確認します。誰も答えを知らないなら、それが答えです
- 管理者アカウント：退職者・共有アカウントを削除し、二要素認証を有効にします
- 更新状況：CMS管理画面の更新通知を数えます。2桁なら、バックアップ後に作業日を決めます
- 契約書：保守契約があるなら、応答時間、復旧目標、ソースへのアクセス権が数値と文章で明記されているか確認します。なければ第6章の5項目を基に更新交渉をします
7.2 放置の費用と管理の費用
6項目のうち3つ以上で「分からない」と答えたなら、そのWebサイトはすでに放置状態です。事故がまだ起きていないだけです。
管理費は月数万～数十万ウォン。放置の費用は再制作費に、売上損失と信頼回復期間まで加わります。Webサイトは公開日に完成するのではなく、公開日から運用が始まります。どちらを払うか選べるのは、事故が起きる前だけです。