レンタルサーバーとは
レンタルサーバーは、事業者からサーバーの保存領域やWeb・メール機能を借りて利用するサービスです。日本ではWebホスティング全般を指す言い方として使われ、個人のサイトから企業のWebシステムまで用途があります。
利用者は、データセンターの建物や物理サーバーを自分で所有せず、契約した範囲のCPU、メモリ、ストレージ、通信、管理機能を使います。どこまでを事業者が管理するかは、共用、VPS、専用、マネージドなどの方式で大きく変わります。
レンタルサーバーを契約しても、ドメイン名が自動的に同じ所有物になるとは限りません。サーバー契約、ドメイン登録、DNS設定は結び付いて動きますが、役割と更新期限は別です。
借り方で操作できる範囲が変わる
共用サーバーは、一つのOSやWeb実行環境を複数の契約者で使い、事業者が更新や基本設定をまとめて管理します。管理画面でサイト、メール、データベースを作りやすい一方、OS設定や常駐プログラム、利用できる言語版に制限があります。
VPS（Virtual Private Server／バーチャル・プライベート・サーバー）は、物理サーバーを仮想化して、利用者ごとに独立したOS環境を提供します。ルート権限を持てる契約では自由度が高い反面、OS更新、ファイアウォール、SSH、ミドルウェア、監視を利用者が担います。
専用サーバーは物理機を一契約者が占有する方式です。資源競合を抑え、特殊な構成を取りやすい一方、費用と運用負担が大きくなります。マネージドサービスは、これらの基盤に監視、更新、障害対応などを加えますが、具体的な範囲は契約書で確認します。
責任分界を作業単位で確認する
- 01建物・電源・回線・物理機
通常は事業者が設備を運用する。稼働率、保守時間、災害対策、補償はサービス条件を見る。
- 02仮想化基盤とOS
共用では事業者管理が多く、自己管理VPSではOSから利用者責任になる。境界を契約で確かめる。
- 03管理画面・SSH・FTPの資格情報
利用者が強い認証、権限分離、退職者の削除、接続元制限、秘密の保管を行う。
- 04CMS・プラグイン・自作プログラム
設置者が更新、脆弱性対応、入力検証、不要機能の削除、開発環境との分離を行う。
- 05公開データ・個人情報・メール
利用者が公開範囲、法令・規約、アクセス権、保持期間、暗号化、削除を設計する。
- 06監視・バックアップ・復旧
提供機能の対象、頻度、保持世代、別拠点、利用者が復元できる条件を実際に試す。
ドメインとDNSをサーバーへ結び付ける
ドメイン名は人が使う名前、DNSはその名前から接続先などを案内する仕組み、レンタルサーバーはコンテンツやメールを処理する場所です。WebではA、AAAA、CNAMEなど、メールではMXや認証用TXTなどを設定します。
サーバーの移転時は、先に新環境を準備し、データを同期し、DNSの案内先を変え、旧環境への到着がなくなるまで並行運用します。ドメインの更新切れやネームサーバーの誤変更は、サーバーが正常でもサイトとメールを見えなくします。
公開用フォルダーの外へ置くべきデータがある
Webサーバーは、パブリック_HTMLなど契約で定められたドキュメントルートの中を公開対象として扱います。索引.HTML、画像、CSS、JavaScriptなど閲覧者へ配るファイルを置きます。
ソースの下書き、バックアップ、秘密鍵、環境変数、設定の控え、ログ、個人情報、データベース書き出しを同じ公開領域へ置くと、URLから取得される恐れがあります。ファイル名を分かりにくくするだけでは防げません。公開不要データは公開領域の外へ置き、権限でも制限します。
「無制限」でも技術上の上限はある
プラン比較ではストレージ容量だけでなく、ファイル数、CPU時間、メモリ、同時接続、データベース数、メール送信数、転送量、PHP実行時間、バックアップ、ログ保持を見ます。「転送量無制限」でも、他利用者へ影響する高負荷や大量送信を規約で制限する場合があります。
共用環境では、同じ物理資源を使う別契約の負荷が影響しないよう事業者が制御します。短いアクセス集中、継続するバッチ処理、大量の小ファイルなど、サイトの性質に合う上限を確認します。
実行環境は更新期限まで含めて選ぶ
PHP、データベース、CMSなどには対応版と保守期限があります。古い版しか動かないサイトを残すと、脆弱性修正を受けられません。更新前に複製環境で互換性を確認し、拡張機能とテーマも一緒に更新します。
自動インストール機能は設置を簡単にしますが、その後の更新、管理者アカウント、不要プラグイン、投稿者権限まで自動で安全に保つわけではありません。管理画面とCMSで別々の強い認証を使います。
TLS証明書は有効化後も更新を監視する
HTTPSには、ドメイン名へ対応する証明書、秘密鍵、期限、HTTPからの転送、混在コンテンツなどの設定があります。自動発行に対応していても、DNS変更、更新失敗、契約変更で期限切れになる場合があります。
メール機能を使うなら、SMTP、IMAP、WebメールのTLS、送信ドメイン認証、迷惑送信対策も必要です。Webサイトの証明書だけでメール経路まで自動的に保護されるとは限りません。
バックアップは復元できて初めて役立つ
サーバー内だけのバックアップは、契約削除、アカウント侵害、事業者障害で同時に失う可能性があります。重要データは、別の認証・別の保管先にも暗号化して保存し、保持世代を決めます。
ファイルだけ戻しても、データベース、DNS、証明書、メール、権限、実行版がそろわなければサイトは復旧しません。手順書を作り、定期的に復元テストを行います。
移行できる形で持つ
契約前に、ファイル、データベース、メール、DNSレコード、証明書、ログをどの形式で書き出せるか確認します。独自のサイト作成機能や管理APIを使う場合は、他社へ移せない部分を把握します。
価格だけでなく、責任分界、上限、更新、復元、移行の五点を確認すると、「置けるサーバー」ではなく「運用を続けられるサーバー」を選べます。
安全なWeb運用の確認資料：IPA「安全なウェブサイトの作り方」、IPA「安全なウェブサイト運用管理に向けての20ヶ条」、IPA「中小企業の情報セキュリティ対策ガイドライン」