保守・運用契約で確認したいこと｜公開後に困らないために

結論：「誰が・何を・どこまで」を一覧にしておく

ホームページは公開して終わりではありません。サーバーやドメインの契約更新、CMSの更新、バックアップ、障害時の対応など、公開後にも続く作業があります。保守・運用契約は、これらの作業を誰がどこまで担当するかを決めるものです。

困りごとが起きやすいのは、どちらも担当していない作業が残っている場合です。「制作会社がやってくれていると思っていた」「発注側が管理していると思っていた」というすれ違いを防ぐため、作業ごとに担当と範囲を一覧にしておきます。

この記事では、保守の範囲として確認したい6つの作業と、ドメイン・サーバーの名義、解約時の引き継ぎ、SSLについて整理します。契約内容の法的な判断は、社内の法務担当や専門家に相談してください。

保守の範囲：6つの作業ごとに確認する

保守の範囲は会社によって大きく違います。「保守込み」と書かれていても、中身は確認しないとわかりません。次の表を使って、作業ごとに担当と条件を書き込みます。

「軽微な修正」は特に解釈がずれやすい項目です。文字の差し替えだけなのか、ページの追加も含むのか、具体例を挙げて確認しておきましょう。範囲を超えた作業の料金の決まり方も、あわせて聞いておきます。

CMSの更新とバックアップは、公的な指針でも基本とされている

IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」では、サイトを構成するCMSなどのソフトウェアに脆弱性（攻撃に悪用されうる弱点）が見つかった場合、バージョンアップ等の対策が必要と案内されています。同じ資料では、OSやサーバーソフトウェアの更新は対策の基本であり、更新によってそれまで動いていた仕組みが正常に動かなくなる場合があるため事前の検証が必要、とも説明されています。

つまり、CMSの更新は「ボタンを押すだけ」とは限りません。保守契約で確認したいのは、更新の頻度、更新前に動作を確かめるか、問題が起きたときに元に戻せるか、の3点です。

バックアップについては、IPAが2026年3月に公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版で、はじめに取り組む項目に「バックアップを取ろう!」が加わり、「情報セキュリティ6か条」になりました。同じ改訂で、自社診断の項目に「ウェブサイトを安全に運用する」が追加されたと案内されています。バックアップは、取っていることに加えて、実際に戻せるかを確かめておきます。戻す作業を誰が行い、どのくらい時間がかかるかを聞いておきましょう。

ドメインとサーバーの名義を確認する

ドメイン（example.co.jp のようなサイトの住所）とサーバー（サイトのデータを置く場所）は、誰の名義で契約されているかを必ず確認します。制作会社がまとめて契約し、費用を保守料に含めて請求している形もよくあります。この形自体が悪いわけではありませんが、解約や乗り換えのときに手続きが必要になります。

確認したいのは次の点です。

• ドメインの登録者（名義）は自社か、制作会社か
• ドメインとサーバーの契約先（事業者名）と、更新の時期
• 管理画面のIDを誰が持っているか（パスワードそのものは共有資料に書かない）
• 更新の案内メールがどこに届くか
• 制作会社名義の場合、解約時に名義を移す手続きと費用

ドメインの更新が漏れると、サイトやメールが使えなくなることがあります。更新の時期と、案内が届く連絡先を自社でも把握しておくと安心です。

SSL（https）の扱いを確認する

SSL（TLS）は、サイトと閲覧者の間の通信を暗号化する仕組みで、アドレスが https で始まるサイトで使われています。IPAの20ヶ条でも、通信内容の暗号化（HTTPS化）を行う必要があると案内されています。

保守契約で確認したいのは、証明書の更新を誰が行うかです。証明書には有効期限があり、自動で更新される仕組みを使っている場合と、手動で更新が必要な場合があります。更新が漏れると、閲覧者のブラウザに警告が表示されることがあります。

暗号の設定の細かな内容は、担当者が自分で判断する必要はありません。IPAは設定の考え方を「TLS暗号設定ガイドライン」として公開しています。制作会社やサーバー会社に、どのような方針で設定しているかを聞くときの参考にできます。

クラウド・レンタルサーバーなら、事業者の担当範囲も把握する

レンタルサーバーやクラウドサービスを使っている場合、一部のセキュリティ対策はサービス事業者が提供していることがあります。IPAの20ヶ条では、サービス事業者側の作業範囲とセキュリティ対策を把握したうえで、不足する対策は自組織で対応することを検討するよう案内しています。

つまり、担当は「自社」「制作会社」の2者だけでなく、「サーバー事業者」を加えた3者で整理する必要があります。サーバー事業者が自動でバックアップを取っている場合でも、保存期間や戻し方は事業者ごとに違います。保守の一覧表に、サーバー事業者が担当する項目も書き込んでおきましょう。

同じ資料では、不要なアカウントを削除すること、不要になったページやサイトを放置しないこと、定期的に検査・診断を行うことも挙げられています。退職者や以前の制作会社のアカウントが管理画面に残っていないかも、保守の打ち合わせで確認できます。

解約時の引き継ぎを、契約前に決めておく

制作会社を変える、社内で運用することにした、などの理由で保守契約を解約することがあります。そのときに慌てないよう、何を渡してもらえるかを契約前に確認しておきます。

• サイトのデータ一式（ファイル、データベース）
• 管理画面・サーバー・ドメインのアカウント情報の引き渡し方法
• ドメインの名義変更・移管の手続きと費用
• デザインデータや写真などの素材
• 更新手順や設定をまとめた資料（あれば）
• 引き継ぎ期間中の対応と、その費用

著作権の扱いによっては、データを受け取っても自由に改変できない場合があります。納品物の権利がどうなっているかは、Web制作会社の選び方でも触れたとおり、契約時に確認しておきましょう。

今ある契約を見直すときのチェックリスト

すでに保守契約を結んでいる場合は、次の項目を順に確認します。わからない項目は、制作会社への質問としてまとめて送ると効率的です。

• 保守契約書・見積書が手元にある
• 6つの作業（サーバー・ドメイン・CMS更新・バックアップ・障害対応・軽微な修正）の担当がわかる
• ドメインとサーバーの名義、更新時期がわかる
• 更新の案内メールが届く連絡先がわかる
• SSL証明書の更新方法がわかる
• バックアップから戻す手順と担当がわかる
• 障害時の連絡先と受付時間がわかる
• 管理画面に不要なアカウントが残っていない
• 解約時に受け取れるものがわかる

一覧ができたら、上司と共有しておきます。担当者が替わっても、この一覧があれば引き継ぎがしやすくなります。新しく制作会社を探す段階なら、相見積もりの取り方の比較表に保守の行を入れて比べましょう。