■ 起きた症状
いつもの環境ではなく、この日は作業の合間に立ち寄ったカフェでサイトの更新作業をしようとしました。
ブラウザから自分のブログの管理画面にアクセスすると、ログイン画面はいつも通り表示されました。
しかし、ユーザー名とパスワードを入力して「ログイン」ボタンを押すと──
403 Forbidden
というエラー。
「パスワードを間違えた？」と思いましたが、そうではなく、何度試しても同じ結果でした。
■ 原因
調べてみると、原因はサーバー側のセキュリティ（WAF：Web Application Firewall）でした。
自分のブログを運用しているレンタルサーバには、標準でWAFが有効になっており、外部からの怪しいリクエストを自動で遮断してくれます。
WAFはアクセス内容をリアルタイムでチェックし、
- 管理画面へのPOSTリクエスト
- カスタムURL（例：
/login_99729など） - 不審なヘッダーやCookie
といった要素を総合的に見て「安全／危険」を判断しています。
今回は、「カフェのWi-Fi」からのアクセスが普段と異なるIPアドレスだったため、
セキュリティ上「見知らぬ環境からのログイン」とみなされ、ブロックされたわけです。
つまり、「エラー」ではなく、正しく守られた結果だったのです。
■ ホスティングサービスごとのWAFの性格
WAFはどのホスティングサービスにもありますが、**性格の違い（強弱の差）**があります。
| サービス | WAFの傾向 | コメント |
|---|---|---|
| さくらのレンタルサーバ | 🔒 強め | 共用サーバのため、安全優先。外部Wi-Fiで弾かれやすい。 |
| エックスサーバー | ⚙️ 中程度 | ルールがやや緩く、調整もしやすい。 |
| ConoHa WING / mixhost | 🧩 柔軟 | 開発者向けで、WAF除外設定を自分で行える。 |
| Cloudflare / AWS WAF | 🤖 AI型 | 自動学習で誤検知は少ないが、設定次第で強くも緩くも。 |
この違いは、「どこまで自動で守るか」「どの範囲を対象にするか」という方針の違いです。
たとえば、さくらのWAFは“堅牢で誤検知気味”、ConoHaやmixhostは“柔軟で開発者向け”といった性格を持っています。
■ じゃあどうすればいいの？
外出先でサイトの管理画面を開く必要がある場合は、次のような方法で安全かつ確実にアクセスできます。
- 自宅や信頼できるネットワークからログインする（推奨）
最も安全で確実です。 - スマホのテザリングを使う
モバイル回線経由ならWAFが弾く可能性は低くなります。 - VPNを使って自宅のネットワーク経由にする
VPNで自宅の回線を踏むと、WAFから見て「いつもの環境」と判断されます。
■ 学び・まとめ
今回の「カフェで403になった」出来事は、
実はセキュリティが正常に働いたことを示すサインでした。
「不便」はときに「安全の裏返し」です。
見知らぬ環境からのアクセスを止めるのは、WAFが瞬時に判断してくれた結果。
もし同じような状況に出くわしたら、
「トラブル」ではなく「守ってくれている」と思って、
落ち着いて原因を確認してみてください。
💬 まとめ
- 403 Forbiddenは「異常」ではなく「防御反応」
- WAFの強さはホスティングごとに違う
- 外部Wi-Fiでは遮断されることもある
- 自宅・テザリング・VPN経由が安全
- セキュリティは“不便なほど優秀”なこともある
🪄 追記メモ
今回の出来事で、WAFの存在意義を実感しました。
「守られているからこそ起きる不便」は、信頼の証。
安心してブログを運営するうえで、
WAFとの“ちょうどいい距離感”を見つけるのが大切だと感じました。
コメント