WordPressセキュリティ診断の費用と依頼前チェックリスト

WordPress診断は、外から版を調べる簡易診断と、ログイン後の権限・入力機能まで見る診断で範囲が異なります。金額だけでは比較できません。

外から版を調べるだけの簡易診断なら数万円程度の例もあります。シンクトラストはWebサイト向け15万円〜（税込）、Webアプリ向け30万円〜（税込）です。

見積もり前に、対象URL、ログイン後機能、利用中のソフト、保有データ、検証環境、納品物、再検証を整理します。

WordPressセキュリティ診断とは
更新と診断は役割が違う
公開料金は診断範囲と一緒に見る
なぜ費用に差が出るのか
見積もり前の8項目チェックリスト
簡易診断と手動診断の選び方
よくある質問
出典

WordPressセキュリティ診断とは

WordPressセキュリティ診断は、WordPress本体、プラグイン、テーマ、PHPやサーバー、サイト独自の機能などを対象に、弱点がないかを確認する作業です。ただし、「WordPress診断」という名称だけでは、どこまで調べるかは決まりません。

たとえば、公開ページへ外部からアクセスし、WordPress本体・プラグイン・テーマの版と既知の脆弱性を照合するサービスがあります。一方、会員ページや管理機能を持つサイトでは、ログイン後の権限、他人の情報を見られないか、入力フォームを悪用できないかなど、実際の機能に沿った手動確認が必要になる場合があります。

IPAは「安全なウェブサイトの運用管理に向けての20ヶ条」で、内部の対策状況を確認したうえで、外部組織によるサーバー、ネットワーク機器、Webアプリケーションの脆弱性検査やセキュリティ監査を受けることは、対策漏れを洗い出す有効な手段だとしています。また、公開・運用後も定期的に検査や監査を続けることが重要と説明しています。

更新と診断は役割が違う

WordPress公式のセキュリティ文書は、WordPress本体とインストール済みのプラグイン・テーマを最新に保つことを、最も重要な対策としています。使っていないプラグインを削除すること、信頼できる配布元を使うこと、強いパスワードや二段階認証、適切なファイル権限、バックアップなども挙げています。

更新は欠かせませんが、更新済みであることと、サイト独自の機能に弱点がないことは同じではありません。IPAの「ウェブ健康診断仕様」には、SQLインジェクション、クロスサイト・スクリプティング、アクセス制御など、画面や機能の挙動を確認する項目があります。同仕様は、限定した診断で脆弱性が見つからなくても「安全である」ことと同義ではないとも明記しています。

更新は既知の修正を取り込む日常の保守、診断は決めた範囲で弱点を探す点検です。

どちらか一方ですべてを代替できるとは考えません。

公開料金は診断範囲と一緒に見る

次の金額は、シンクトラストが公式ページで公開している料金です。すべて税込で表記しています。

公開サービス例	税込料金	公式ページで確認できる主な範囲・条件
シンクトラスト「ライト診断」	15万円〜	3日相当、Webサイト1つ。AI自動診断と人手の深掘り。再検証は半日2万5,000円〜（税込）のオプション
シンクトラスト「スタンダード診断」	30万円〜	6日相当、Webアプリ本体。手動テスト中心で、ログイン後機能・権限まわりを検査。納品後30日以内の再検証1回込み
シンクトラスト「レッドチーム・ライト」	50万円〜	10日相当、攻撃者目線の侵入シミュレーション。WordPressの通常診断と同じ意味ではない
シンクトラスト「見守りリテナー」	月5万円〜	診断後の継続サポート。定期再診断、新しい脆弱性のアラート、メール相談、年1回のまとめ報告

公開料金は範囲と条件が異なります。数字だけを並べて「相場」や同条件の比較とは扱わず、購入時には提供元の最新表示を確認してください。

外部から版などを確認するだけの簡易診断であれば、数万円程度で提供されている例もあります。ただし、ログイン後の機能や権限までは見ないことが多く、範囲が異なるため金額だけでは比較できません。

シンクトラストの料金基準は1人日5万円（税込）・最低3日〜です。対象と範囲、金額、日程を合意してから着手し、公開ページでは表示額をすべて税込としています。ライト診断やスタンダード診断はWordPress専用商品という名称ではないため、実際にWordPressサイトのどこまでを対象にするかは見積もり時に決めます。

なぜ費用に差が出るのか

最も大きな違いは作業範囲です。公開ページだけを見るのか、テスト用アカウントを使うのか、会員・編集者・管理者など複数の役割を確認するのかで、必要な作業は変わります。

WordPressの会社サイトでも、問い合わせフォームだけのサイトと、会員登録、予約、決済、ファイルアップロード、外部API連携を持つサイトでは同じではありません。サイト数、サブドメイン、言語別サイト、ステージング環境をどこまで含めるかも確認が必要です。

さらに、報告書の詳しさ、対策方法の記載、説明会の有無、修正後の再検証、納期、夜間作業、緊急対応によっても条件が変わります。見積もりでは「何日か」だけでなく、対象と納品物を同じ表にして比べます。

見積もり前の8項目チェックリスト

1. 対象URLと環境

本番、ステージング、開発のどれを診断するか
ドメイン、サブドメイン、管理画面、APIのURL
同じ会社が運営する別サイトを含むか

本番環境へ影響する検証は、実施可否、時間帯、停止条件を事前に決めます。検証環境を使う場合は、本番との構成差も書き出します。

2. サイトの機能

問い合わせ、検索、コメント、ファイルアップロード
ログイン、会員登録、予約、購入、決済
外部サービスやAPIとの連携

画面名だけでなく、入力から完了までの流れを示すと、見積もりの抜けを減らせます。

3. 利用中のソフトと管理者

WordPress本体、プラグイン、テーマ、PHPの版
独自開発したプラグインやテーマの有無
レンタルサーバー、制作会社、保守会社と、それぞれの担当範囲

版が分からない場合は「不明」と書き、誰に確認できるかを添えます。推測で埋める必要はありません。

4. ログイン後の役割

購読者、会員、編集者、管理者などの役割
診断用アカウントを用意できるか
他人の情報や管理機能へアクセスできないことを確認するか

権限の確認を含むかどうかは、外部から版だけを見る簡易診断との大きな違いです。

5. 保有データと禁止操作

個人情報、注文、問い合わせ、採用情報などの種類
テストデータを使えるか
メール送信、実決済、大量登録、削除など、実行してはいけない操作

実データを扱う本番では、許可する操作と禁止する操作を文書にします。

6. バックアップとログ

WordPress公式は、更新前のバックアップを勧め、通常のサイトを完全に戻すにはデータベースとファイルの両方が必要だと説明しています。診断前にも、復元できるバックアップの有無、WebサーバーやWordPress、WAF等のログを誰が取得できるかを確認します。

7. 欲しい納品物

発見事項、再現手順、危険度、対策方法を含む報告書
経営者向けの要約が必要か
取引先指定の回答様式があるか
説明方法と質問できる期間

「報告書あり」だけでなく、誰が何の判断に使うかを決めます。

8. 修正と再検証

修正を誰が行うか
再検証の回数、期限、対象、追加料金
新しい問題の調査を再検証に含むか

シンクトラストのスタンダード診断は、報告した脆弱性が直ったかを確認する再検証1回を含み、納品後30日以内の依頼が条件です。新規調査は含みません。

簡易診断と手動診断の選び方

まず、WordPress本体・プラグイン・テーマの更新漏れや、外から確認できる既知の脆弱性を把握したいなら、外部からの簡易診断は入口になります。ログイン後に顧客情報を扱う、複数の権限がある、独自の申込みや決済がある場合は、その機能が診断範囲に含まれるかを確認します。

自分の見方では、「高い方が安全」「安い方で十分」と金額だけで決めるより、守りたい機能を先に書き出す方が失敗を減らせます。既存記事「WordPressのセキュリティ診断で確認すること｜更新だけで足りるか」では確認項目を、「セキュリティ診断の費用をどう見る？」では見積もり比較の考え方を詳しく整理しています。

すでに身に覚えのない管理者、改ざん、マルウェア警告などがある場合は、通常の定期診断の相談だけで済ませず、インシデントとして時刻と症状を記録し、ホスティング事業者や対応先へ連絡します。

WordPress公式も、侵害後の最初の実務として状況と時刻の記録を挙げています。