XserverのWAF設定 ― 効果と注意点まとめ

2025年8月31日2025年9月5日

XserverのWAF設定を説明するイラスト。左側に「効果：攻撃を遮断・管理が簡単」と盾アイコン、右側に「注意点：誤検知・反映の遅延・カスタム不可」と警告アイコン。下部には「501」と表示されたパソコン画面と困惑する人物のイラスト。

XserverのWAFとは？WordPress運営者が知るべき基本

Xserverが提供する Web Application Firewall（WAF） は、Webサイトへの不正アクセスを自動で検知し遮断する仕組みです。
WordPressを含む動的サイトを狙った SQLインジェクション や クロスサイトスクリプティング（XSS） など、代表的な攻撃への防御を標準で提供しています。
導入はサーバーパネルからON/OFFを切り替えるだけで簡単に利用できます。

Xserver WAFで設定できる6つの対策

XserverのWAFでは、以下6種類のセキュリティ対策を個別にON/OFFできます。

XSS対策
JavaScriptなどを仕込むクロスサイトスクリプティング攻撃を遮断。Cookie盗難や情報改ざんを防止。
SQL対策
データベースへの不正入力を防ぐ。SQLインジェクションによる情報漏えいを軽減。
ファイル対策
不正なファイルアップロードや改ざんファイルの呼び出しを検知。マルウェア設置を防御。
メール対策
問い合わせフォームなどを経由したスパム送信や不正メール送信を防ぐ。
コマンド対策
危険なリクエストやコマンド実行パターンを遮断。SQL注入系や特殊文字を含むアクセスもブロック対象。誤検知によって 501エラーの原因 となりやすい。
PHP対策
危険なPHP関数呼び出しを制限。不正スクリプトの実行を防ぐ。

WAFの効果とメリット

代表的な攻撃を自動でブロック
SQLインジェクションやXSS、ファイルアップロード攻撃、コマンドインジェクションなどを遮断できる。
WordPressの脆弱性を突いた攻撃にも有効
プラグインやテーマの脆弱性を突くリクエストの多くをカバー。
導入が容易
サーバーパネルからワンクリックでONにでき、特別な知識や設定は不要。

WAF利用時の注意点とデメリット

誤検知による501エラーや403エラー

正常なアクセスを攻撃と判定し遮断するケースがあります。
例：Google広告の自動最適化テスト、WordPressプラグインのAJAX通信など。
結果として、サイト全体が 501エラー や 403エラー を返して停止することがあります。

【最新事例】
2025年2月、Microsoft Clarity（ヒートマップ解析ツール） のCookieをWAFコマンド対策が不正と誤検知し、WordPressサイトで501エラーが発生。公式からも「コマンド対策の一時OFF」が回避策として案内されています。
同様に Googleタグマネージャー や類似の外部計測サービスでも誤検知事例が報告されています。
さらに一部では、エラー後にサーバー側で自動的に Meta Refreshタグ や <script> が挿入され、SEO警告が出るケースもありました。これはXserverの XPageSpeed機能 をオフにすることで解消された報告があります。