静的サイトとは、あらかじめ作っておいたページのファイルを、そのまま訪問者に配る作りのホームページです。WordPressのように訪問のたびにプログラムとデータベースでページを組み立てないため、攻撃される場所が大きく減ります。その代わり、会員ログインやカート、管理画面からの手軽な更新など「その場で動く機能」も減ります。内容が頻繁に変わらず、動く機能が少ないサイトほど向いています。
この記事は、「WordPressの更新や攻撃の心配に疲れて、静的サイトという言葉を見かけたけれど、何が違うのかよく分からない」という人に向けて書いています。WordPressの代わりになる仕組みの全体像はWordPressの代替CMS比較、実際の移し方はWordPressをCloudflareへ移す4つの方法で説明しているので、ここでは「静的とは何か」と「判断の材料」に絞ります。
結論：攻撃される場所が減るが、動く機能も減る
静的サイトと動的サイトの違いは、ページを「いつ」作るかです。
- 動的サイト（WordPressなど）：訪問者が来るたびに、サーバーのプログラムがデータベースから記事を取り出して、その場でページを組み立てる
- 静的サイト：公開する前にページを作り終えておき、訪問者には完成したファイルを配るだけ
その場で組み立てる仕組みがあるから、WordPressは管理画面からすぐ記事を出せて、会員ページやカートも動かせます。そして同じ理由で、その仕組みが攻撃の入口にもなります。静的サイトは、この仕組みを公開の場所から取り除く代わりに、その場で動く機能をあきらめる（または別の仕組みに任せる）という交換です。
静的サイトと動的サイトの違い
WordPress.orgは、WordPressを動かすサーバーの推奨として、PHP 8.3以上と、MariaDB 10.11以上またはMySQL 8.0以上、HTTPS対応を挙げています。つまりWordPressのサイトは、公開しているあいだずっと、PHPというプログラムの実行環境とデータベースがネットにつながった状態で動いています。
| 動的サイト（WordPress） | 静的サイト | |
|---|---|---|
| ページを作るタイミング | 訪問のたび | 公開する前に1回 |
| 公開の場所で動くもの | PHP、WordPress本体、テーマ、プラグイン、データベース | ファイルを配る仕組みだけ |
| ログイン画面 | 公開しているサイトの中にある（初期設定では誰でも開ける） | 公開しているサイトの中にはない |
| 記事の更新 | 管理画面で保存すればすぐ反映 | 原稿を直して、ページを作り直して、配り直す |
| 主な更新作業 | 本体・テーマ・プラグイン・PHPの更新を続ける | ページを作る道具の更新は、作るときにだけ必要 |
「静的」は「動きのないページ」という意味ではありません。スライドやタブの切り替え、地図の埋め込みなど、訪問者のブラウザの中で動く仕掛けは静的サイトでも使えます。なくなるのは、サーバーの側でその場に処理をする部分です。
静的サイトが安全と言われる3つの理由
理由① 狙われやすい「部品」が公開の場所からなくなる
WordPressの脆弱性の大半は、本体ではなく部品にあります。WordPressのセキュリティ企業Patchstackの年次報告によると、2025年にWordPressの周辺で見つかった新しい脆弱性は11,334件で、そのうち91%がプラグイン、9%がテーマでした。本体の脆弱性は6件で、優先度の低いものだったとされています。
静的サイトでは、公開の場所でプラグインもテーマのプログラムも動きません。プラグインの穴が見つかっても、それを突く入口が公開の場所にない状態になります。
理由② 「更新が間に合わない」問題から離れられる
同じ報告では、脆弱性の46%が、公表の時点で開発者による修正が出ていませんでした。また、集中的に狙われた脆弱性では、大量の攻撃が始まるまでの時間の中央値が5時間だったとしています。持ち主がどれだけまじめに更新しても、修正がまだない、あるいは気づく前に攻撃が始まる、ということが起こり得ます。
静的サイトでは、訪問者に配っているのは作り終えたファイルなので、ページを作る道具に穴が見つかっても、公開中のサイトがすぐに乗っ取られる形にはなりにくくなります。
理由③ データベースとログイン画面が、公開の場所にない
WordPressでは、記事も設定もユーザーもデータベースに入っていて、ログイン画面は公開しているサイトの中にあります。パスワードの総当たりや、データベースを狙う攻撃は、この構造があるから成り立ちます。静的サイトでは、公開の場所に盗まれるデータベースも、試されるログイン画面もありません。
静的サイトにしても残るリスク
静的にすると、攻撃の入口は「公開しているサーバー」から、サイトを作って配る仕組みを動かすアカウントや道具へ移ります。そこが手薄だと、静的でも乗っ取られます。
| 残るリスク | 何が起きるか | 対策 |
|---|---|---|
| 配信サービスやドメインのアカウントの乗っ取り | ページを差し替えられる。ドメインの向き先を変えられる | 2段階認証を設定する。Cloudflareは、すべての利用者に2段階認証を有効にするよう勧め、2種類以上の認証方法を登録しておくことを勧めている |
| ドメインの名前解決（DNS）のなりすまし | 訪問者が偽の場所へ案内される | DNSSECを有効にする（DNSの応答が本物であることを確かめる仕組み） |
| ページに読み込む外部のスクリプト | 解析タグ、チャット、広告などの読み込み元が書き換えられると、静的なページの上でも不正な処理が動く | 読み込むものを必要最小限にし、使っていないタグは外す |
| ページを作る道具と部品 | 作るときに使う道具や部品に問題があると、できあがるページに混ざることがある | 道具を作るときに更新し、出所の分からない部品を使わない |
| 残した「動く部分」 | フォームや検索のために置いたプログラムやサービスが狙われる | 動く部分を小さくし、送信の回数制限やBot対策を入れる |
| 元のWordPressの消し忘れ | 静的化したあとも、古いWordPressがテスト用のアドレスなどで公開されたまま残る | 移したあと、元のWordPressを外から開けないようにする、または消す |
また、フォームを外部のサービスに任せても、受け取った個人情報への責任はサイトの持ち主に残ります。漏れたときの報告義務についてはサイトから個人情報が漏れたら：報告義務と期限で説明しています。
なお、静的サイトでは、セキュリティのための応答ヘッダーを設定ファイルで加えられる配信サービスもあります。たとえばCloudflare Workersの静的アセットでは、_headers という名前のファイルを置くと、URLごとにヘッダーを足したり変えたりできます。
/*
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-originただし、Cloudflareのドキュメントによると、この設定はプログラム（Worker）が作った応答には効かず、その場合はプログラムの中でヘッダーを付ける必要があります。
できなくなること・やり方が変わること
静的にすると、サーバーの側でその場に処理をしていた機能は、そのままでは動かなくなります。よく使われる機能について、どう変わるかをまとめました。
| 機能 | 静的サイトでは | 判断のポイント |
|---|---|---|
| 管理画面での更新 | 原稿を直してページを作り直す流れに変わる | 更新する人がその流れに慣れられるか |
| 予約投稿・公開日時の指定 | そのままでは使えない。決まった時刻に作り直す仕組みが要る | 日時指定の公開をどれくらい使っているか |
| お問い合わせフォーム | 外部のサービスか、送信だけを受け取る小さなプログラムに任せる | 個人情報の保存先と管理者を決められるか |
| サイト内検索 | ページから作った索引をブラウザで検索するか、外部のサービスを使う | ページ数が少なければ、メニューの見直しで足りることも |
| コメント | 外部のサービスを使うか、やめる | 今、実際に使われているか |
| 会員ページ・ログイン | 静的なページだけでは作れない | 会員機能が事業の中心なら、静的化は向かない |
| ネットショップ・予約 | 静的なページだけでは作れない。専用のサービスに任せる | カートや決済を専用サービスに分けられるか |
| 記事が非常に多いサイトの更新 | 作り直しに時間がかかることがある | 道具の選び方と、変わったページだけ作り直せるか |
フォーム・検索・コメントの具体的な代わりの方法は、WordPressをCloudflareへ移す4つの方法の「静的化で動かなくなる機能と、その代わり」で説明しています。
向いているサイト・向かないサイト
次の質問に答えると、静的サイトが合うかどうかの目安になります。当ラボがご相談を受けるときに最初に確かめている点を、チェックリストにしたものです。
- ページの内容が変わるのは、多くても週に数回程度
- サイトの主な役割は、会社やお店、サービスの紹介と、問い合わせの受付
- 会員ログインや、サイトの中でのカート・決済がない（または専用サービスに分けられる）
- コメント欄や掲示板を、実際にはほとんど使っていない
- WordPressやプラグインの更新を、決まった人が続けられていない
当てはまる数が多いほど、静的サイトに向いています。反対に、次のようなサイトは静的サイトだけで作るのは難しく、WordPressを続けるか、別の仕組みと組み合わせることになります。
| サイトの種類 | 静的サイトとの相性 | 考え方 |
|---|---|---|
| 会社・お店の紹介サイト | とてもよい | 動く機能は問い合わせフォームくらい。外部に任せやすい |
| サービスの案内（LP） | とてもよい | 表示の速さも利点になる |
| ブログ・お知らせ中心のサイト | よい | 更新する人の慣れ次第。原稿の書き方を決めれば続けやすい |
| 採用サイト | よい | 応募フォームの個人情報の扱いを決めておく |
| ネットショップ | 組み合わせ次第 | 商品紹介は静的、カートと決済は専用サービスという分け方もある |
| 会員制サイト・予約システムが中心のサイト | 向かない | その場で動く処理が中心のため、守る前提で運用する |
WordPressを続けたまま守りを固めるか、静的サイトを含めて別の仕組みに移るかを比べたい場合は、WordPressからの乗り換え先5つを比較も参考にしてください。
実例：当ラボのサイトの作り
いまご覧になっているこのサイトも、静的サイトの考え方で作っています。
- 原稿はファイルで書く
このコラムの原稿は、見出しや本文を書いたファイルとして管理しています。 - 小さなプログラムでページを組み立てる
公開する前に、原稿からHTMLのページと目次、一覧のカードを作ります。リンク切れや閉じ忘れたタグがないかも、このときに自動で確かめます。 - できあがったファイルを配る
作り終えたファイルをCloudflareから配っています。記事を読むときに、サーバーでページを組み立てる処理は動きません。 - 動く部分は、診断の申込みなどに絞る
無料サイト診断の申込みのように、どうしても受け付ける処理が要る部分だけを、小さなプログラムで動かしています。その部分には、送信の回数制限とCloudflare Turnstile（ロボットによる送信を防ぐ仕組み）を入れています。
この形だと、記事をいくら増やしても、守る対象は「申込みを受け付ける小さなプログラム」と「アカウント」のまま増えません。一方で、記事を直すたびに作り直して公開する手間はあり、管理画面で保存すればすぐ反映、という手軽さはありません。手軽さを少し手放して、守る場所を小さくする。静的サイトを選ぶというのは、この交換を選ぶことです。
なお、当ラボを運営するイメージ・ジャパンは、2018年ごろに自社のWordPressサイトが改ざんされた経験があり、その後、自社のサイトを少しずつWordPressを使わない作りに移してきました。そのときの経緯はWordPressが攻撃されたら何が起きる？に書いています。
よくある質問
静的サイトなら、ハッキングされることはありませんか？
ゼロにはなりません。サーバーでプログラムが動かないため、WordPressで多いプラグインやPHPの穴を突かれる被害は起きにくくなります。一方で、配信サービスやドメインのアカウントを乗っ取られる、ページに読み込んでいる外部のスクリプトが書き換えられる、フォームなど残した動く部分が狙われる、といったリスクは残ります。
静的サイトでも、お問い合わせフォームは使えますか？
使えます。ただし、ページ自体は送信を受け取れないため、外部のフォームサービスを埋め込むか、フォームの送信だけを受け取る小さなプログラムを別に用意します。どちらの場合も、受け取った個人情報をどこに保存し、誰が管理するかを決めておく必要があります。
静的サイトは、自分で文章を直せなくなりますか？
作り方によります。HTMLのファイルを直接直す形だと、慣れていない人には難しく感じます。原稿をファイルや外部の管理画面で書き、自動でページを組み立てる形にすれば、文章の更新は続けやすくなります。誰がどのくらいの頻度で更新するかを先に決めてから、作り方を選んでください。
WordPressで書いたまま、公開だけを静的にすることはできますか？
できます。WordPressを社内など外から見えない場所で動かし、できあがったページを書き出して公開する方法です。訪問者が触れるのは書き出したページだけになります。ただし、WordPress自体の更新は続ける必要があり、外から見えない場所に本当に閉じ込められているかの確認も大切です。具体的な方法は、Cloudflareへ移す方法の記事で比べています。
静的サイトにすると、表示は速くなりますか？
速くなることが多いです。訪問のたびにページを組み立てる処理がなく、できあがったファイルを配るだけなので、サーバーの処理を待つ時間が減ります。ただ、大きな画像や、外部から読み込むスクリプトが多いと、静的でも遅くなります。
参照元
- WordPress.org：Requirements（PHP 8.3以上、MariaDB 10.11以上またはMySQL 8.0以上、HTTPS。確認日：2026年11月6日）
- Patchstack：State of WordPress Security in 2026（2025年の新しい脆弱性11,334件、プラグイン91%・テーマ9%、公表時に修正なし46%、大量悪用までの中央値5時間。確認日：2026年11月6日）
- Cloudflare Docs：Headers（Workers static assets）（
_headersファイル、Workerが作った応答には適用されない点。2026年9月22日更新、確認日：2026年11月6日） - Cloudflare Docs：Two-factor authentication（確認日：2026年11月6日）
- Cloudflare Docs：DNSSEC（確認日：2026年11月6日）
- 最終確認日：2026年11月6日
URLを送るだけで、外から確認できる範囲で、今のサイトの危険度と、静的にしやすいかどうかの目安をお返しします。
運営：株式会社イメージ・ジャパン（1997年創立）。WordPressからの乗り換えと乗り換え後の見守りのほか、Web制作・SEO、AI導入支援、自社AIツール（VCT・Symphy・Mapvoice AI）の開発・運営を手がけています。
