セキュリティ・弱点
事務所ホームページの管理画面、二段階認証はどこまで必要？パスワードだけで守れているか
ホームページの管理画面には、パスワードさえ分かれば誰でも入れる、という事務所が少なくありません。更新のたびに同じパスワードを使い続けていたり、退職した事務員さんのパスワードをそのままにしていたりすると、パスワードだけで守る形では心もとなく感じることがあります。この記事では、パスワードに「もう一段の確認」を加える二段階認証（多要素認証）とは何か、士業事務所のホームページのどこに設定すればよいか、所長・事務員の方にもわかる言葉で解説します。
パスワードだけで守る形の心配な点
ホームページの管理画面やサーバーの契約者ページには、通常、ID（メールアドレスなど）とパスワードを入れてログインします。この形そのものが悪いわけではありませんが、パスワードが他の誰かに知られてしまうと、そのまま入られてしまうという特徴があります。
パスワードが知られる形はいくつかあります。たとえば、ほかのサービスで使っていたパスワードを事務所のホームページでも使い回していて、そのサービスの情報が外に漏れた場合。あるいは、事務員さんの間でパスワードを紙に書いて共有していて、その紙を見た人が誰でも入れる状態になっている場合などです。こうした心配は、パスワードを長く複雑にするだけでは解消しきれません。
顧問先の相談内容や連絡先がホームページの相談フォームを通じて事務所に届く仕組みを持つ事務所も多く、管理画面に入られてしまうと、ホームページの表示が書き換えられるだけでなく、相談フォームの設定を変えられてしまうおそれもあります。守りの一段を増やしておくことは、事務所の信用を守ることにもつながります。
二段階認証（多要素認証）とは何か
二段階認証とは、パスワードを入れたあとに、もう一つの確認を求める仕組みです。多くは、スマートフォンのアプリに数字のコードが表示され、そのコードを管理画面にも入れる、という形で行われます。パスワードを知っているだけでは入れず、あわせてスマートフォンを持っていることも必要になる、という考え方です。
もう一つの確認の方法には、スマートフォンのアプリに表示されるコードのほかに、携帯電話番号宛てのショートメッセージで届くコード、メールアドレス宛てに届くコードなどがあります。どの方法を使うかは、ホームページを管理している仕組み（WordPressなど）やサーバー会社によって選べる範囲が決まっています。
名前は「二段階認証」「多要素認証」「2ファクタ認証」などいくつかありますが、いずれも「パスワードだけに頼らない」という考え方は共通しています。制作会社や保守の担当に相談するときは、まずこの考え方を伝えると話が進みやすくなります。
貴事務所のホームページは大丈夫？
アドレスを入れるだけで、ニュースになった弱点に当てはまりそうか・鍵マークは大丈夫かなどを約10秒で自動診断します。
事務所のどこに設定を考えればいいか
士業事務所のホームページに関わる入り口は、いくつかに分かれていることが多く、入り口ごとに設定できる範囲も違います。まず、どの入り口があるのかを書き出してみましょう。
| 入り口 | 何ができる場所か | 二段階認証の考え方 |
|---|---|---|
| WordPressの管理画面 | 記事やお知らせの更新、料金表の差し替えなど | 追加の部品（プラグイン）で設定できることが多い |
| サーバーの契約者ページ | ドメインやメール、料金の支払いの管理 | サーバー会社ごとに設定の有無が違う |
| 事務所の受付メール | 相談フォームの送信先、顧問先との連絡 | メールの提供元（Google・Microsoftなど）の設定で行う |
この3つは別の場所なので、別々に確認が必要です。「ホームページは二段階認証にしたが、サーバーの契約者ページは昔からのパスワードのまま」という事務所も見かけます。WordPressの更新と管理画面の守り方もあわせてご覧いただくと、管理画面全体の守り方がつながって見えてきます。
事務所の受付メールについては、士業の仕事において特に大切な入り口です。顧問先からの連絡や相談フォームの通知がすべて届く場所なので、ここに入られてしまうと、やり取りの内容を見られたり、なりすましの連絡を送られたりするおそれがあります。メールの提供元の設定画面で、二段階認証を有効にできるか確かめておきましょう。
設定の進め方
いきなり全部を変えようとすると、事務員さんが戸惑ってしまうことがあります。次の順番で、落ち着いて進めるとよいでしょう。
- 今の入り口を書き出すWordPress・サーバー・受付メールなど、ホームページに関わる入り口をすべて書き出します。
- 設定できるかを確かめるそれぞれの管理画面やサーバー会社のお知らせで、二段階認証の機能があるかを確かめます。分からない場合は制作会社や保守の担当に聞きます。
- 使う人のスマートフォンを決めるコードを受け取る端末を、所長・事務員のどなたのものにするかを決めます。個人の端末を使う場合は、退職時の扱いもあわせて決めておきます。
- 一人ずつ設定してもらうまず所長から設定し、慣れたら事務員さんにも設定してもらいます。設定した日を控えておきます。
- ログインし直して確かめるいったんログアウトし、パスワードとコードの両方で入れることを確かめます。
設定そのものは制作会社や保守の担当に任せてかまいませんが、「どの端末でコードを受け取るか」「事務員さんが入れ替わったときにどう引き継ぐか」は、事務所の側で決めておく必要があります。事務員さんの交代時の進め方は管理アカウントの引き継ぎでも詳しく扱っています。
確かめ方のヒント
設定を頼むときは、「パスワードだけで入れないか」を実際に試してもらうと確実です。パスワードを入れた後にコードの入力画面が出れば、正しく設定できています。
設定したあとも、見直しを続ける
二段階認証を設定すれば終わり、というわけではありません。コードを受け取る端末を買い替えたときや、事務員さんが退職するときには、設定の見直しが必要です。特に、個人の端末で受け取る形にしている場合、退職後にその端末が使えなくなると、今度は事務所の側が管理画面に入れなくなってしまうこともあります。
- 端末を買い替えたら、新しい端末での受け取りに切り替える
- 事務員さんが退職するときは、その方の端末での受け取りを外す
- 設定を見直した日を記録に残す
- 困ったときの連絡先（制作会社・保守の担当）を事務所内で分かる場所に控えておく
こうした細かな見直しは、気づかないうちに後回しになりがちです。HPドクターの無料の自動診断では、貴事務所のホームページの状態を約10秒で確かめられます。続けて見守りたい場合は、AIみまもり＋AIチャットが月額1,500円・14日間無料です。週3回（月・水・金）サイトを診断し、変化があったときだけお知らせしますので、管理画面が書き換えられた場合の早い気づきにもつながります。人に相談したい場合も、無料でご相談いただけます。
今の制作会社との契約はそのままで、見守りの部分だけをお任せいただくこともできます。管理画面の守り方を全体として見直したい場合は、保守の内容そのものを見直すことも一つの方法です。
まずは14日間、AIに見守らせてください
今の制作会社との契約はそのままで、貴事務所のサイトをAIが週3回診断し、変化があった時だけお知らせします。人に相談したい方は、無料で担当者にご相談いただけます。
14日間無料で始める まずは人に相談するよくあるご質問
二段階認証を設定すると、ログインの手間が増えませんか？
コードの入力という手間は増えますが、多くの場合、スマートフォンに表示されるコードを入れるだけで数秒ほどです。パスワードだけで入られてしまう心配と比べると、負担は小さいと考える事務所が多いようです。
WordPressに二段階認証の機能がない場合はどうすればいいですか？
追加の部品（プラグイン）を入れることで設定できる場合があります。どの部品を使うかは、ホームページの作りによって変わるため、制作会社や保守の担当に相談してください。
コードを受け取るスマートフォンは、事務所で用意すべきですか？
個人の端末で受け取る形も多く見られますが、退職時に受け取れなくなる心配があります。事務所として管理する端末を一つ用意する方法もありますので、事務所の規模や体制に合わせて検討してください。
受付メールにも二段階認証は必要ですか？
顧問先からの連絡や相談フォームの通知が届く受付メールは、ホームページの管理画面と同じくらい大切な入り口です。メールの提供元の設定画面で、二段階認証ができるかを確かめることをお勧めします。
すでに長いパスワードを使っていれば、二段階認証は不要ですか？
パスワードを長く複雑にすることは大切ですが、使い回しや紙への書き出しなど、パスワードが他人に知られる形は別のところにも残ります。パスワードを工夫することと、二段階認証を加えることは、どちらか一方ではなく、両方を組み合わせて考えるとよいでしょう。
この記事は、税理士・社労士・行政書士事務所のホームページの見守りと相談を担当する「HPドクター」編集部がまとめました。
