自社ホームページを、Cloudflareへ引っ越しました
.jpドメインのまま、守りを固めた記録

8 AI WORKS.のホームページは、これまで一般的なレンタルサーバー（ロリポップ）に置いていました。研修の配布ページやお客様向けのデモなど、作ったものを次々と置いてきた結果、気づけば中身はかなりの量になっていました。お客様に「ホームページの守りを固めましょう」とお伝えする立場として、まず自分のサイトで実践することにしました。

1. まず「全部でいくつあるか」を数える

最初にしたのは、サーバーの中身をすべて手元のバックアップと突き合わせることです。トップページや研修ページのほかに、過去の研修資料、お客様向けのデモ、地域行事のページなどが置かれていました。終わった行事のページ5件は公開を止めたまま、それ以外は制作物ポータルに一覧として整理しました。

2. ドメインは「契約先そのまま」で切り替え

Cloudflareではドメインの契約もできますが、.jpドメインは対象外です（2026年11月時点）。そこで、ドメインの契約はムームードメインのまま、ネームサーバー（ドメインの住所録の置き場）だけをCloudflareに向けました。

• 切り替える前に、メール（Google）の設定や、検索エンジンの所有確認の設定がCloudflare側に写っているかを確認
• ムームードメインで「DNSSEC」という設定がオフであることを確認（オンのまま切り替えると表示されなくなることがあります）
• レンタルサーバーは支払い済みの期間があるので解約せず、万一のときの戻し先として残しました

3. 引っ越しで気をつけたこと

気をつけたこと	やったこと
今までのURLが変わらないこと	「privacy.html」のような今までのアドレスで、そのまま開けるように設定（外で共有されているリンクを切らさない）
大きな動画	1ファイル25MBを超える動画は、別の保管場所から配信
公開を止めていたページ	引っ越し後も公開停止のまま
検索に出さないページ	お客様向けデモなどは、引っ越し後も検索結果に出さない設定
本番を止めない	先に試し用のアドレスで全ページの表示を確認してから切り替え

4. 守りの設定をまとめて入れる

• いつでも「https://」で開くように（http で来ても自動で切り替え）
• 他サイトに埋め込まれてボタンを押させる詐欺（クリックジャッキング）を防ぐ設定
• ファイルの種類のごまかしを防ぐ設定、外部へ渡す情報を最小にする設定
• 弱点を見つけた人が連絡できる窓口（security.txt）を用意
• 業者向けの作業メモなど、公開する必要のないファイルを非公開に

5. 点検で見つかった「合鍵の書き忘れ」

合鍵が他人に使われると、こちらの契約でAIを利用され、利用料が発生する恐れがあります。すぐにページから合鍵を外し、発行元で合鍵そのものを無効にする手続きを進めました。

AIを組み込んだデモやツールを手早く作る機会が増えたいま、同じことはどの会社のホームページでも起こりえます。この経験から、無料のHP健康診断にも「合鍵が書き込まれていないか」の確認を加えました。

6. メールのなりすまし対策も

ドメインの設定をCloudflareで管理できるようになったので、会社のドメインを名乗る詐欺メールを防ぐ設定（SPF・DKIM・DMARC）も順に入れていきます。メールが止まらないよう、監視だけの段階から少しずつ強めます。

やってみて

見た目は何も変わっていませんが、裏側は「更新に追われない・狙われにくい・戻せる」形になりました。特に、作ったきりのデモページに合鍵が残っていたことは、自分のサイトを本気で点検しなければ気づけませんでした。

「うちのホームページは大丈夫だろうか」と思われたら、まずは無料の診断を試してみてください。引っ越しまで含めたお手伝いはHP安全パックでご案内しています。