エックスサーバーとロリポップは、WAFの初期設定で決まる。制作直後に困らないための比較5選

この記事の結論

WordPressで作ったサイトを、エックスサーバーとロリポップのどちらで公開するか。速度や料金を比べた記事はすでに多くありますが、この記事は「契約した後、制作の途中で何に詰まるか」を比べます。具体的には、WAF(Webアプリケーションファイアウォール)の初期設定と、SSHが使えるプランの範囲です。

エックスサーバーは、WAFが既定で無効(OFF)になっていること、設定を変更しても反映まで最大30分程度かかることを公式が明記しています。ロリポップは、WAFの初期状態や反映時間について公式ページに記載が見当たらず、この記事では取得できませんでした。ただし、この記事の運営者は実際にロリポップでこのサイト(ナラビカ)を運用しており、<script>タグを含む内容を保存しようとしてWAFに403(アクセス拒否)で弾かれた経験があります。

以下では、公式が公表している値と、運営者が実際に運用して踏んだ体験を区別して書きます。どちらの情報かによって、契約前に確認できることと、使い始めてから分かることが変わるためです。

比べたもの

比べたのは、エックスサーバーとロリポップの2社です。比較の軸は次の5つです。

1. WAFの初期設定(既定でONかOFFか)
2. WAFの設定変更が反映されるまでの時間
3. <script>タグを含む保存・投稿がどう扱われるか
4. SSHが使えるプランの範囲
5. キャッシュの保持期間(TTL)

料金プランの違いは、この記事では扱いません。プランの内容や価格は時期によって変わるため、契約前に公式サイトで確認してください。

選び方の解説

WAFとは何か、制作中に何が起きるか

WAF(Web Application Firewall)は、Webサイトへの攻撃(SQLインジェクションやクロスサイトスクリプティングなど)を検知して、該当する通信を自動的に遮断する仕組みです。多くのレンタルサーバーが、契約者のサイトを守るために標準で用意しています。

問題は、WAFが「攻撃かどうか」を通信の中身のパターンで判定するため、制作者が正規の作業として行う操作でも、攻撃のパターンに似ていると弾かれることがある点です。典型的なのが、<script>タグを含む文字列の保存です。

<script>を含むPOSTが弾かれると、具体的に何ができなくなるか

WordPressの管理画面で、次のような操作をすると、<script>タグを含む内容をサーバーへ送信(POST)することになります。

• Googleアナリティクスやアフィリエイト(A8.net、楽天アフィリエイトなど)の計測タグを、テーマのカスタマイザーやプラグインの入力欄に貼り付けて保存する
• SNSのタイムラインやチャットツールなど、埋め込み型のウィジェットを「カスタムHTML」ブロックに貼って保存する
• 一部のプラグインが生成する管理画面の設定を保存する

WAFがこの種のPOSTを攻撃と誤認して弾くと、保存ボタンを押しても403エラーが返り、入力した内容が保存されません。原因が分からないと、「プラグインが壊れた」「サーバーが不安定」と誤解しやすい場面です。

この記事の運営者は、ロリポップで運用しているこのサイトで、実際にアフィリエイトタグを保存しようとして<script>を含むPOSTが403で弾かれたことがあります。対処としては、保存する作業の間だけWAFを一時的に無効化し、保存が終わったら再度有効に戻す、という手順を取っています。

ここで注意したいのは、これはロリポップの不具合ではないという点です。WAFが疑わしい通信を止めるのは、セキュリティ機能として正しい挙動です。困るのは、制作者側が「なぜ止まったか」を知らないまま作業を進めてしまうことです。

エックスサーバーについては、この記事では公式が公表している値だけを扱っており、<script>を含むPOSTが同様に弾かれるかどうかは確認していません。公式マニュアルにはWAFの機能一覧が記載されていますが、個別の入力パターンでどう動くかまでは書かれていないため、「取得できず」としています。契約前に、タグの保存など同様の作業を行う予定がある場合は、公式のサポートやマニュアルで確認することをおすすめします。

設定の反映に時間がかかること

エックスサーバーは、WAFの設定(有効/無効の切り替えや除外設定)を変更してから反映されるまで、最大30分程度かかることを公式マニュアルに明記しています。つまり、WAFを無効にしてすぐ保存を試しても、反映が終わっていなければまだ弾かれる可能性があるということです。この間は、設定を変えたのに直らないように見えるため、「まだ効いていないだけ」と分かっていないと、他の原因を疑って時間を使ってしまいます。

ロリポップについては、公式ページに反映時間の記載が見当たりませんでした。運営者の体験では、設定を変更したあと5〜10分程度、アクセスするサーバー側のノード(処理を振り分ける仕組み)によって403が出たり出なかったりする状態が続くことがあり、その場合は保存をリトライして通しています。ただしこれは運営者の体験であり、ロリポップが公式に「反映まで何分」と定めた数値ではありません。

いずれのサーバーでも共通して言えるのは、WAFの設定変更は即座に反映されるとは限らないということです。納期が近いタイミングで初めてこの挙動に遭遇すると、原因の切り分けに余計な時間を取られます。

SSH / WP-CLIが使えるかで、制作の何が変わるか

SSH(Secure Shell)は、サーバーへ直接コマンドを送って操作するための接続方式です。SSHが使えると、WP-CLIというWordPress専用のコマンドラインツールで、プラグインの一括インストールやアップデート、データベースの検索置換、キャッシュのクリアといった作業を、管理画面を1画面ずつ操作せずまとめて行えます。複数サイトを持つ制作者にとっては、作業時間を左右する部分です。

ロリポップは、SSHが使えるプランを公式に明記しています。スタンダード・ハイスピード・エンタープライズの3プランで利用可能で、ライト・エコノミーの2プランでは使えません。契約するプランを間違えると、SSHもWP-CLIも使えないまま制作を進めることになります。

エックスサーバーは、公式マニュアルにSSHのON/OFF切り替えと、公開鍵認証が必須(パスワード認証は不可)であることは明記されていますが、どのプランから使えるかというプラン別の制限は、この記事で確認した範囲では見当たりませんでした。「全プランで使える」と断定はできないため、契約前に公式サイトや問い合わせで対象プランを確認することをおすすめします。

なお、WP-CLIやGitそのものについては、エックスサーバー・ロリポップともに公式ページ本体に記載が見当たりませんでした。SSH経由でWP-CLIやGitを利用したという個人の技術記事は複数見つかりますが、これは「サーバー側が公式に対応を明言している」こととは別です。この記事では、公式ページに記載が無いという事実だけを書きます。

SSHが使えるかどうかは、料金プランを選ぶ段階で決まります。あとから上位プランへ変更すれば使えるようになる場合が多いものの、途中でプランを切り替えると移行の作業やダウンタイムのリスクが生じます。制作の効率化のためにSSH・WP-CLIを使うつもりがあるなら、最初の契約プランを選ぶ時点で、対象プランに含まれているかどうかを確認しておいたほうが、後からの手戻りを避けられます。

キャッシュのTTL(更新が反映されない事故)

レンタルサーバーの多くは、表示速度を上げるためにページのキャッシュ機能を備えています。ロリポップの場合、LiteSpeed Cacheというキャッシュ機能があり、運営者が運用しているこのサイトでは、TTL(キャッシュを保持する期間)の設定が7日になっています。

このTTLの存在を知らずに運用していると、記事の内容やアフィリエイトの表示を変更したのに、実際のサイトには反映されないという状態が起こります。運営者はこのサイトで、パージ(キャッシュの手動削除)を忘れて「広告が表示されない」「構造化データが反映されていないように見える」という状態になったことが2回あります。原因はキャッシュのTTLで、内容を変更した後にパージを行えば解決しました。

エックスサーバーは、サーバーキャッシュの保持期間(TTL)について、静的ファイル(css・js・画像など)は2分、それ以外のファイルは1分でキャッシュが失効すると公式マニュアルに明記しています。この記事では公式が公表している値のみを扱っており、実際の挙動に基づく記述はしていません。契約前に確認したい場合は、公式サイトのキャッシュ機能の説明を参照してください。

契約直後に確認しておきたいこと

ここまでの内容を踏まえると、契約した直後にやっておくとよいことが2つあります。

1つは、管理画面でWAFの設定画面を一度開いて、現在の状態(有効/無効)を確認することです。既定でどちらになっているかを知らないまま制作を進めると、途中で保存できない現象に出会ったとき、原因の候補にWAFが挙がりません。エックスサーバーは既定で無効という値が公式に分かっているので確認は簡単ですが、ロリポップは公式ページに記載が無いため、自分の契約プランで実際の画面を開いて確かめる必要があります。

もう1つは、WAFを一時的に無効化する操作(と、作業後に戻す操作)の手順を、実際にタグの保存で困る前に一度試しておくことです。慌てているときに初めて設定画面を探すのと、事前に場所を知っているのとでは、対応にかかる時間が変わります。これはロリポップに限らず、WAFを備えたレンタルサーバー全般に言える一般的な話です。

1つずつ見る

1 エックスサーバー広告

向いている人 契約後、WAFの設定を自分で触らずそのまま制作を始めたい人(既定で無効のため)。WAFを有効化したあと、設定変更の反映に最大30分程度かかることを見込んでスケジュールを組める人。

向かない人 <script>を含むPOSTの実際の挙動を、契約前に体験談で確認してから決めたい人(この記事では取得できていません)。SSHが使えるプランの条件を、公式ページの記載だけで確認したい人(プラン別の記載が見当たりませんでした)。

補足 エックスサーバーは、WAFの初期状態や反映時間のように、公式マニュアルに数値で明記されている項目がありました。一方でこの記事では公式の公表値のみを扱っており、実際に運用した体験に基づく記述はしていません。

2 ロリポップ広告

向いている人 SSHが使えるプランを、契約前に公式情報だけで確認したい人(プラン条件が明記されています)。アフィリエイトタグや埋め込みコードを保存する作業があると分かっていて、WAFに弾かれる可能性をあらかじめ知っておきたい人。

向かない人 WAFの初期状態(既定でONかOFFか)を、契約前に公式ページの記載だけで確認したい人(この記事では取得できていません)。キャッシュの存在を意識せず、更新するたびに毎回そのままサイトへ反映されると考えたい人。

補足 この記事の運営者は、ロリポップでこのサイト自体を運用しています。WAFで<script>を含むPOSTが弾かれた体験、LiteSpeed CacheのTTLでパージ忘れが起きた体験は、いずれも実際に運用して分かったことです。

加えて、このサイトのWordPressにはSiteGuardというセキュリティプラグインを導入して運用しており、管理画面のログインURLを独自の文字列に変更する設定になっています。これはロリポップというサーバー自体の機能ではなく、運営者がWordPress側に追加したプラグインの設定です。この設定はデータベースに保存されている状態を実際に確認しており、他の環境へデータをインポートすると、このログインURLの設定ごと引き継がれ、通常のログイン画面にアクセスできなくなるおそれがあります。WAFとは別の層で起きる話ですが、「保存したのに反映されない」「ログインできない」といった制作中のつまずきは、原因がサーバー側のWAFなのか、自分で追加したプラグインの設定なのかを切り分けて考える必要がある、という点は共通しています。

まとめ

エックスサーバーとロリポップは、どちらもWordPress制作でよく選ばれるレンタルサーバーですが、比較記事の多くは速度や料金を扱っており、「契約した後、制作の途中で何に詰まるか」までは書かれていません。

この記事で分かったのは、エックスサーバーはWAFの初期状態(既定で無効)と反映時間(最大30分程度)を公式が明記している一方、SSHのプラン別条件や<script>を含むPOSTの実際の挙動は、この記事の範囲では確認できなかったということです。ロリポップは、SSHが使えるプランを公式が明記している一方、WAFの初期状態や反映時間は公式ページに見当たらず、代わりに運営者自身が実際に運用して踏んだ体験(<script>を含むPOSTが403で弾かれること、キャッシュのTTLでパージ忘れが起きたこと)があります。

公式が公表している値と、実際に運用して分かることは、性質が異なる情報です。契約前に確認できるのは前者までで、後者は使い始めてから分かることも多い、というのがこの記事を書いてみて言えることです。どちらのサーバーを選ぶ場合も、契約直後に一度WAFやSSHの設定を触って、挙動を確認しておくことをおすすめします。