セキュリティヘッダーとは？なりすまし・乗っ取りへの備えをやさしく解説

セキュリティヘッダーとは何か：ブラウザへの「約束ごとの貼り紙」

患者さんがスマートフォンやパソコンで医院のホームページを開くと、ホームページ（正確にはそれが置かれたサーバー）から、ページの中身と一緒に「添え状」のような情報が届きます。この添え状のうち、ブラウザ（ホームページを見るためのアプリ）に「この点は守って表示してください」と伝える約束ごとを、セキュリティヘッダーと呼びます。

たとえるなら、医院の入口に貼る「院内では指定の場所以外に入らないでください」「この扉は内側からしか開けられません」といった貼り紙のようなものです。貼り紙があることで、来院された方も、出入りする業者も、決まりに沿って動いてくれます。セキュリティヘッダーも同じで、ブラウザがその約束に沿って動くことで、なりすましや乗っ取りに悪用されにくい状態をつくります。

ブラウザは、約束ごとが書かれていなければ「特に決まりはない」と受け取り、できるだけページを表示しようとします。それは便利な反面、悪意のある第三者がその隙を利用する余地を残すことにもなります。セキュリティヘッダーは、医院の側から「ここまでは許します、ここから先は許しません」とはっきり伝えることで、その余地を狭めるための仕組みだと考えてください。

代表的なセキュリティヘッダーと、それぞれの役割

セキュリティヘッダーにはいくつか種類があります。名前は英語ですが、覚える必要はありません。「こういう約束ごとがある」とつかんでいただければ十分です。

この中でも、最初の2つは特によく話題になります。とくに「出入りできる業者の一覧」にあたるものは、設定の仕方によってはページの一部が表示されなくなることもあるため、後でご説明する注意点と合わせて考える必要があります。

なお、1つ目の約束ごとは、そもそも鍵マーク（通信の暗号化）が正しく使えていることが前提です。アドレス欄に「保護されていない通信」と表示される場合は、先にそちらを整える必要があります。詳しくは「保護されていない通信」と表示される原因と消し方をご覧ください。

なぜクリニックのホームページでも話題になるのか

「小さな医院のホームページまで狙われるのだろうか」と思われるかもしれません。ただ、インターネット上の悪用の多くは、特定の医院を狙うというより、設定の甘いホームページを機械的に探して回るものだと言われています。医院の規模にかかわらず、守りの設定が整っているかどうかが分かれ目になります。

• 医院の名前やロゴを使った、なりすましのページに悪用されることを防ぎたい
• 問い合わせや予約のフォームに入力された内容を、のぞかれにくくしたい
• 知らない場所から読み込まれた不正なプログラムが、患者さんの画面で動くことを防ぎたい
• ホームページの診断で指摘されたまま、放置しておきたくない

ただし、セキュリティヘッダーは「最後の仕上げ」にあたる備えです。PHPやWordPressが古いままでは、いくら貼り紙を整えても建物そのものの弱さは残ります。2026年10月には、PHP本体の深刻な弱点についてIPA（情報処理推進機構）の注意喚起（2026年10月21日）が出ました。まずは部品の更新を済ませ、そのうえでセキュリティヘッダーを整える、という順番がおすすめです。

この順番はあくまで目安です。診断で指摘された内容や、医院のホームページの作りによって、制作会社と相談しながら決めていただくのがよいでしょう。

自分の医院のホームページで確かめる方法

セキュリティヘッダーは画面に表示されないため、見た目では設定されているか分かりません。専門知識がなくても確かめられる方法を、手順でご紹介します。

1. 無料の自動診断を使うHPドクターの自動診断では、ホームページのアドレスを入れるだけで、セキュリティヘッダーの設定状況を含めた状態を確かめられます。結果に出てきた項目名を控えておきます。
2. 制作会社に設定状況を尋ねる「セキュリティヘッダーはどれが設定されていますか」と尋ねます。表の名前を添えて聞くと、答えてもらいやすくなります。
3. 設定する場所を確認するセキュリティヘッダーは、レンタルサーバーの設定やWordPressの追加機能など、いくつかの場所で設定できます。どこで設定するのが医院のホームページに合っているかを、制作会社と確認します。
4. 結果を記録しておくどのヘッダーが、いつ、どこで設定されたかを記録します。サーバーの引っ越しやホームページの改修で設定が消えてしまうことがあるため、後で見直すときの手がかりになります。

制作会社から「設定済みです」と答えが返ってきた場合も、念のため自動診断の結果と見比べておくと安心です。設定したつもりが一部のページにしか効いていなかったり、サーバーの引っ越しの際に消えていたりすることがあるためです。答えと診断結果が食い違うときは、その食い違いをそのまま制作会社に伝えれば、確認を進めてもらいやすくなります。

ほかの確認項目とあわせて見直したい場合は、クリニックのホームページ セキュリティチェックリスト（15項目）もご活用ください。

設定するときに気をつけたいこと

セキュリティヘッダーは、設定すれば設定するほどよい、というものではありません。約束ごとを厳しくしすぎると、本来表示したいものまで止めてしまうことがあります。次の点に気をつけながら進めると安心です。

• いきなり厳しくせず、影響の小さいものから順に設定する
• 設定したら、パソコンとスマートフォンの両方で主なページを開いて確かめる
• 予約・問診・問い合わせのフォームが、送信まで正しく動くかを確かめる
• 設定を変える前の状態を控えておき、困ったときに元に戻せるようにする
• サーバーの引っ越しやホームページの改修の後は、設定が残っているかを確かめる

Web予約やWeb問診を使っている医院で確かめたい点は、Web予約・Web問診を使うクリニックのホームページで確認したいことで詳しくまとめています。

設定と見直しを、専門家に任せる選択肢

セキュリティヘッダーは、一度設定すれば終わりではなく、外部サービスの追加やホームページの改修のたびに見直しが必要になることがあります。院内だけで続けるのが難しい場合は、ホームページの保守を担う専門家に任せるのも一つの方法です。

HPドクターは、クリニック向けのホームページ保守サービスです。担当制で、PHPやWordPressの更新に加えて、セキュリティヘッダーのような設定の見直しもお手伝いします。月額10,000円〜30,000円（税別）、初期費用0円、緊急時は24時間受付で、今の制作会社との契約はそのままでもご利用いただけます。まずは無料の自動診断で今の設定状況を確かめてみてください。