2026.09.02

サーバーのログイン情報が不明でも諦めない！現状のシステム構造調査で分かること・できること

執筆者情報

中村圭介

株式会社カジヤ/代表取締役　男性向けファッション通販サイト運営の会社を経験し、現職に至る。デザインや開発から、ECやメディアのコンサルティングまでを一貫して行う。お付き合いのあるお客様の事業を成功に導けるように、再現性のある成長支援ができる会社を目指す。

【AIによる要約】
– サーバーのログイン情報がなくても、WHOIS・DNS・SSL証明書・HTTPヘッダー・CMSバージョンなど、外部から確認できる情報は多い。
– 一方でDBの中身や独自プログラム、契約の確定情報は内部に入らないと分からない。「分かること」と「分からないこと」の境界線を先に確定させることが重要。
– 調査のゴールは「延命か再構築か」の判断材料を揃えること。最優先で確認すべきはドメイン失効リスク。

はじめに：引き継ぎで最初に立ちはだかる「情報ゼロ」の壁

制作会社が廃業した、担当者が退職して連絡が取れない、契約書も資料も残っていない——。当社に寄せられる引き継ぎ相談で、最初につき当たるのがこの壁です。

「サーバーのログインIDもパスワードも分からない。何も始められないのでは？」

結論から言えば、ログイン情報がなくても、調べられることは思っているより多いです。そして、その調査結果こそが「引き継ぎが安全にできるか」「作り直すべきか」という意思決定の土台になります。

ただし、誤解しないでほしい境界線もあります。この記事では、300社以上のサイト支援をしてきた現場の経験をもとに、外部から分かること / 分からないことをはっきり線引きし、調査後に何を判断すべきかを整理します。

サーバー構造調査のイメージ

1. 調査の前提：まず「正規所有者であること」を確認する

技術的な調査の前に、法的な土台の確認が先です。ドメインとサーバーの契約名義が自社かどうかが、すべての出発点になります。

WHOIS情報の確認：ドメインの登録者（Registrant）が自社名義かを確認します。gTLD（.com 等）は多くがWHOIS非公開化されているため、まずはドメイン管理会社（レジストラ）の確認から入るのが実践的です。確認には Verisign のWHOIS検索（.com/.net 用）や、JPRS（日本レジストリサービス）の .jp 用WHOISが使えます。
支払い履歴の確認：経理の請求書・クレジットカード明細から「ドメイン代」「サーバー代」がどの事業者に支払われているかを辿ると、契約先が特定できることが多い。

ここで名義が自社なら話は早く、制作会社名義の場合は契約書の確認と、場合によっては法務・弁護士への相談が検討対象になります。所有権が曖昧なまま技術調査に進んでも、引き継ぎは完了しないからです。

2. 外部から分かること：ログイン不要で確認できる7項目

ここからが本題です。サーバーにログインしなくても、公開状態のサイトは多くの情報を語ります。

① DNSレコード（どこにサイトが置かれているか）

dig や MXToolbox などの公開ツールで、Aレコード（WebサーバーのIP）・MXレコード（メールサーバー）・NSレコード（DNS管理元）が分かります。IPアドレスから、さくら・エックスサーバー・AWSなどのホスティング事業者を特定できることが多いです。

注意したいのはメールとの関係です。メールが同ドメインで生きているなら、メールサーバーも同じ契約に紐づいている可能性が高く、ここは移行時の落とし穴になります（後述のチェックリスト参照）。

② SSL証明書（誰が・いつまで発行しているか）

ブラウザの鍵マークから証明書を見ると、発行元と有効期限が分かります（Let’s Encrypt、クラウド型WAF、サーバー会社の独自SSLなど）。無料SSL（Let’s Encrypt等）なら移行後も再発行可能ですが、サーバー会社独自の有償SSLの場合、移管手続きの要件に影響します。

③ HTTPレスポンスヘッダー（Webサーバーの種類と構成）

curl -I コマンドや公開のヘッダー確認ツールで、Server: ヘッダーから Apache / nginx / レンタルサーバー固有のミドルウェアが、X-Powered-By からPHPのバージョンが推測できます。CDNやWAF（Cloudflare、AWS CloudFront、SiteGuardなど）を経由しているかもここで分かります。

④ CMSの種類とバージョン（特にWordPress）

WordPressであれば、HTMLソース内のジェネレータータグ、/wp-content/ パスの存在、CSS/JSのクエリ文字列（?ver=6.x）からバージョンを推測できます。テーマや主要プラグインの情報もソースから読み取れます。

⑤ セキュリティの健康状態

CMSバージョンが判明すれば、JVN や JPCERT/CC の脆弱性情報、WordPressの公式セキュリティリリース（wordpress.org）と突き合わせて、既知の危険に晒されているかを評価できます。

古いまま放置されたCMSがどうなるかは、当社が何度も現場で立ち会ってきた改ざん復旧の経験からも明らかです。改ざん被害の大半が「古いCMS＋無更新」の組み合わせから発生しています。

⑥ ページ構造とコンテンツ量

サイトマップ、robots.txt、主要ページの棚卸しで、引き継ぐべきコンテンツの総量が概算できます。これは「移行」か「作り直し」かの費用見積もりに直結する情報です。

⑦ ドメイン・証明書の期限切れリスク

WHOISとSSLの有効期限が分かれば、「契約が切れてサイトごと消える」という最悪シナリオまでの猶予期間が算出できます。連絡が途絶えたサイトで最も焦るべきは、実は脆弱性ではなく支払い停止によるドメイン失効です。ここは最優先で確認すべき項目です。

3. 外部からは分からないこと：境界線を正しく持つ

逆に、サーバー内部に入らないと絶対に分からないことも明確にしておきます。ここを誤解したまま見積もりを取ると、後から費用が跳ね上がります。

データベースの中身の正確な構造と容量（投稿データ、会員データ、受注データの実態）
独自PHPプログラムの設計と依存関係（外部サービスとのAPI連携、 cron処理の有無）
設定ファイルの中身（wp-config.php、.env、送信メール設定など）
過去の改ざん痕跡や不審ファイルの有無（表面的には見えないケースが多い）
サーバー会社・契約プラン・支払い状況の確定情報

当社の経験では、「外部調査では問題なさそう」と見えたサイトの内部に、動かない独自PHPや脆弱な古いライブラリが眠っていたケースは珍しくありません。外部調査は「絞り込み」であり「保証」ではない。この認識が、調査後に健全な意思決定をするための前提です。

調査で分かる層と分からない層

4. 調査後の判断基準：当社の「延命か再構築か」の基準

調査が終わったら、次は判断です。ここで「どちらでもできます」は答えになりません。当社が実際に使っている基準を示します。

移行（延命）を推奨するケース

コンテンツ量が多く、ビジネス上の資産価値が高い（SEO評価、被リンク、会員データ）
システムが CMS の標準機能中心で、独自PHPが少ない
CMSバージョンが比較的新しく、セキュリティリスクが管理可能
ドメイン・サーバーの契約が自社名義で、契約コントロールが効く

再構築（リプレイス）を推奨するケース

独自PHPの比重が高く、仕様書もなく解析コストが移行コストを上回る見込み
CMS・PHPが大幅に古く、セキュリティリスクが現時点で許容できない
今後の事業展開（EC化、会員機能追加など）に対して現構造が明らかに不足
担当者しか分からない属人的運用が内部に埋め込まれている

基準を一言で言えば、「解析と移行のコストが、安全な再構築のコストを上回るなら再構築」です。調査の価値は、この判断に必要な数字を実際に出すことにあります。

5. 落とし穴チェックリスト：調査で見落としがちな5点

現場で何度もハッとする盲点として指摘している項目です。

メールサーバーの存在：Webサイトだけ移管してメール設定を見落とすと、会社のメールが止まります。MXレコードの確認は必須。
サブドメイン・テスト環境：本番以外に dev. test. などがぶら下がっていないか。DNSの一覧で必ず洗い出す。
cron（定期実行処理）：バックアップやメール配信がサーバー側で定期実行されていると、移行で黙って止まる。
外部連携の宛先：決済・配送・CRMなど、フォームやECが外のAPIを叩いていると、サーバーIPの変更で連携が切れる。
ドメインの自動更新設定：クレジットカード失効で自動更新が止まり、サイトごと消える事故が実際に起きます。支払い手段の確認まで含めて「契約の引き継ぎ」です。