この記事でわかること
WAF・IP制限・2段階認証（2FA）は、EC-CUBEのセキュリティ対策としてよく挙げられます。ただ、この3つは「入れれば安全」というものではなく、それぞれ守る対象が異なります。この記事では、各対策が何を守り、何を守らないのか、そして異なるレイヤーの防御をどう組み合わせるのか（多層防御）を解説します。
この記事を読むと分かること
- WAF・IP制限・2FAが、それぞれ何を守るのか
- 「多層防御」という考え方
- EC-CUBEでの2段階認証の対応状況
EC-CUBEのセキュリティ対策の全体像は、EC-CUBEのセキュリティ対策7選で解説しています。まず全体を知りたい方は、そちらをご覧ください。
なぜ「多層防御」なのか
セキュリティ対策を考えるとき、「WAFを入れれば大丈夫」「2FAがあれば安心」といった、単一の対策で考えてしまうことがあります。しかし、攻撃の入口は一つではありません。Webアプリケーションへの攻撃、管理画面への不正ログイン、認証情報の流出——それぞれ、経路も、守り方も異なります。
そのため大切なのは、対策を「増やす」ことではなく、異なるレイヤー（層）の防御を組み合わせることです。これを多層防御といいます。各対策が守る対象を整理すると、次のようになります。
| 対策 | 主に守る対象（レイヤー） |
|---|---|
| WAF | Webアプリケーションへの不正なリクエスト |
| IP制限 | 管理画面などへの、接続元 |
| 2段階認証（2FA） | ログイン時の認証 |
| バージョン管理 | 既知の脆弱性への対応 |
| ログ監視 | 異常・事象の検知 |
| バックアップ | 障害・事故後の復旧 |
このように、守る対象が違うからこそ、組み合わせる意味があります。以下では、WAF・IP制限・2FAの3つを詳しく見ていきます。
WAF：Webアプリケーションへの攻撃を防ぐ
WAF（Web Application Firewall）は、Webアプリケーションへの攻撃を検知・遮断する仕組みです。主に、次のような攻撃を対象とします。
- SQLインジェクション
- XSS（クロスサイトスクリプティング）
- 不正なパラメータを含むリクエスト
- その他、WAFのルールに該当する不正なリクエスト
WAFが守るのは、Webアプリケーションへのリクエストです。一方で、正規のIDとパスワードでの不正ログインや、認証そのものは、WAFの主な対象ではありません。ここは、後述のIP制限や2FAが担う部分です。
WAFには、クラウド型（CDN一体型）、サーバー組み込み型などの種類があり、サーバー構成（クラウド・VPS・共用サーバーなど）によって、選び方が変わります。EC-CUBEは自社サーバーで運用することも多く、その場合、インフラ側の防御をどう用意するかが論点になります。
IP制限：管理画面への接続元を絞る
IP制限は、特定のIPアドレスからのみ、管理画面などへのアクセスを許可する仕組みです。IP制限が守るのは、接続元です。適切に設定すれば、許可していないIPアドレスから管理画面へ接続できない構成にできます。
管理画面が突破されると、価格や商品情報の改ざん、顧客情報の流出、不正なプログラムの埋め込みといった、影響の大きい被害につながることがあります。IP制限は、その入口を、接続元のレベルで絞る対策です。
実装方法には、WebサーバーやWAF/CDN側で、管理画面へのアクセス元を制限する方法などがあります。インフラ側のアクセス制御を利用する場合は、サイト構成に応じて、適用範囲を設計します。なお、リモートワークなどで接続元のIPが固定できない場合は、VPNの併用が現実的な選択肢になります。また、管理画面のURLを変更するだけでは、接続元を絞る対策にはならないため、IP制限とは分けて考える必要があります。
2段階認証（2FA）：認証を強くする
2段階認証（2FA）は、ログイン時に、パスワードに加えて、もう一つの要素（ワンタイムコードなど）を要求する仕組みです。2FAが守るのは、認証です。パスワードだけではログインを完了できないようにすることで、パスワード流出時の不正ログインのリスクを下げる対策になります。
パスワードは、フィッシングや使い回しなどによって、流出する可能性があります。2FAは、パスワードだけに依存しない認証にするための対策です。
認証アプリ（Google Authenticatorなど）と連携する方法が一般的です。管理画面は、被害が大きくなりうる部分のため、2FAの適用を検討したい部分です。
・対象：4.1.0〜4.1.2-p4、4.2.0〜4.2.3-p1、4.3.0〜4.3.1
・修正版：4.1.2-p5、4.2.3-p2、4.3.1-p1（以降）
この事例は、2FAを含めどの対策も「入れれば万全」ではなく、バージョン更新とあわせた多層防御が必要であることを示しています。
3つを「組み合わせる」とは
ここまで見たように、WAF・IP制限・2FAは、守る対象が異なります。だからこそ、組み合わせることに意味があります。
- WAFで、不正なWebリクエストを検知・遮断する
- IP制限で、管理画面への接続元を絞る
- 2FAで、パスワードだけに依存しない認証にする
ただし、この3つを入れれば「安全」になる、というわけではありません。たとえば、EC-CUBE本体やPHPが古いまま既知の脆弱性が残っていれば、そこが狙われる可能性があります。ログ監視がなければ、異常に気づくのが遅れることもあります。バックアップがなければ、事故が起きたときに復旧できません。多層防御は、「3つ揃えれば完成」ではなく、守るべきレイヤーに、それぞれ対策があるかという視点で考えることが大切です。
よくある誤解
| 誤解 | 実際は |
|---|---|
| SSL化しているから安全 | SSL/TLSは通信の暗号化であり、攻撃を防ぐ機能ではない |
| サーバー会社が守ってくれる | インフラの防御と、アプリケーションの防御は別。EC-CUBEの設定・運用は自社側の領域 |
| 管理画面のURLを変えれば安心 | URL変更は接続元を絞る対策ではない。IP制限などと分けて考える |
EC-CUBEの多層防御の設計を、ご相談ください。
「WAF・IP制限・2FAをどう組み合わせればよいか」「自社のサーバー構成に合った対策を知りたい」といったご相談に対応しています。EC-CUBEのバージョンやサーバー構成、管理画面の運用方法を確認したうえで、WAF・IP制限・2FAなどの対策をご提案します。
よくある質問
WAF・IP制限・2FAの3つを入れれば、安全ですか？
この3つは、それぞれ守る対象が異なるため、組み合わせる意味があります。ただし、3つを入れれば安全になる、というわけではありません。EC-CUBE本体やPHPのバージョン管理、ログ監視、バックアップなど、ほかのレイヤーの対策も必要です。多層防御は「いくつ入れたか」ではなく、守るべきレイヤーにそれぞれ対策があるか、という視点で考えることが大切です。
EC-CUBEに、2段階認証は標準で付いていますか？
EC-CUBE4系では、4.1.0から、管理画面の2段階認証機能が標準で用意されています。ただし、初期設定では無効になっているため、利用するには有効化する必要があります。4.0系など、標準機能が使えないバージョンでは、2段階認証のプラグイン（taba secure 2段階認証プラグインなど）を利用する方法があります。認証アプリ（Google Authenticatorなど）と連携する形が一般的です。なお、2026年3月には、4.1／4.2／4.3の一部バージョンで2段階認証をバイパスできる脆弱性が公表されているため、利用中のバージョンが修正済みかも、あわせて確認してください。
WAFとIP制限は、どちらか一方でよいですか？
守る対象が異なるため、一方だけで他方を代替することはできません。WAFはWebアプリケーションへの攻撃（SQLインジェクションなど）を対象とし、IP制限は管理画面などへの接続元を絞る対策です。たとえば、IP制限で管理画面を守っても、公開されている商品ページへの攻撃は、WAFの領域です。それぞれの守る対象を踏まえて、必要な対策を検討することをおすすめします。
まず何から始めればよいですか？
まず、利用しているEC-CUBEとPHPのバージョンを確認し、セキュリティ更新やサポート状況、既知の脆弱性に関する情報を確認することをおすすめします。これらへの対応は、土台となる部分です。そのうえで、管理画面のIP制限・2段階認証、WAFの導入などを、自社のサーバー構成や運用体制に合わせて検討します。セキュリティ対策の全体像は、EC-CUBEのセキュリティ対策7選で解説しています。
まとめ
WAF・IP制限・2段階認証（2FA）は、それぞれ守る対象が異なります。WAFはWebアプリケーションへのリクエスト、IP制限は接続元、2FAは認証を守ります。大切なのは、対策を「増やす」ことではなく、異なるレイヤーの防御を組み合わせること——多層防御の考え方です。
そして、この3つだけで完結するわけではありません。バージョン管理、ログ監視、バックアップなど、ほかのレイヤーの対策とあわせて、「構造的に守れているか」を考えることが大切です。私たちサンクユーは、サーバー構成や運用体制を含めた、EC-CUBEのセキュリティ設計に対応しています。多層防御の設計を検討されている方は、お気軽にご相談ください。
投稿者プロフィール
- CEO
- 株式会社サンクユー 代表取締役CEO。
基幹システムとECをつなぎ、受発注業務の最適化を支援する専門家。
関西大学卒業後、東証プライム上場のゼネコンにて人事総務を経験。
その後システムベンダーへ転職し、IBM AS/400環境における金融・物流・販売管理・経理・人事など、企業の基幹業務を支えるシステム開発に従事する。
プログラマからプロジェクトマネージャーまでを経験し、台湾・台北駐在として銀行システム構築プロジェクトにも参画。
この経験を通じて、「システムの質は要件定義の質に比例する」という思想を確立。
業務理解を起点としたシステム設計を強みとする。
その後、クレジット決済代行会社にて、決済システムの再構築や銀行連携、ECサイト構築を担当。
あわせて組織改革にも携わり、20名から60名規模への組織拡大を実現（退任時：常務取締役）。
2008年に株式会社サンクユーを創業、2010年に法人化。
現在は、基幹システムとECの両領域に精通した知見を活かし、BtoB企業における受発注業務のデジタル化・効率化を支援。
特に、FAX・電話・メールなどアナログ業務のEC化や、基幹システムとの連携を前提とした業務設計を得意とする。
単なるECサイト構築にとどまらず、業務フローの整理・要件定義・システム設計まで一貫して関与し、「現場で使われる仕組み」を実現することを重視している。
NTTレゾナント「goo Search Solution」にてEC関連コラムを執筆。
ECマーケティングレポート | goo Search Solution
■趣味・関心領域
BMW / WRC / ロードバイク / RIZIN / UFC / 大相撲
David Bowie / blur / MUSE / The Rolling Stones / XTC
機動戦士ガンダム（富野由悠季）
ベルセルク / 頭文字D / 進撃の巨人 / ジョジョの奇妙な冒険 / あしたのジョー
Mission: Impossible / Memento / ワイルド・スピード / ソナチネ
LOST / Game of Thrones / FRINGE / The Mentalist
上岡龍太郎 / ダウンタウン
