エックスサーバーで保存できない｜WAFの誤検知と6項目の切り分け
※本サイトの記事にはアフィリエイト広告（PR）を含む場合があります
エックスサーバーで記事や設定の保存だけが失敗するなら、サーバーのWAF設定による誤検知を疑います。WAFは攻撃を止める見張り役で、普通の保存操作を攻撃と見間違えることがあります。
直し方の基本は、WAFの6つの項目を1つずつOFFにして、原因の項目を見つけることです。ConoHa WINGと違い、エックスサーバーの公式マニュアルには、ログから1件ずつ除外する手順が載っていません。
この記事では、症状の見分け方から切り分けの順番、反映待ちで判断を誤らないコツまでをまとめました。メニュー名と仕様はエックスサーバー公式マニュアルで確認しています。最終確認日は2026-10-16です。
WAFが原因かの見分け方
WAFの誤検知は、ログイン後の「保存」「更新」の操作で起きるのが特徴です。同じ画面でも、文字だけの修正は通り、コードを貼った保存だけ止まることがあります。
| 出ている表示 | 起きた操作 | 疑う原因 |
|---|---|---|
| 403 Forbidden／501 Not Implemented | 設定画面やプラグイン設定の保存 | WAFの誤検知 |
| 更新に失敗しました。返答が正しいJSONレスポンスではありません | ブロックエディタでの保存・公開 | WAFの誤検知、または国外アクセス制限 |
| 何かうまくいかなかったようです | テーマのカスタマイズ画面の保存 | WAFの誤検知 |
| 403 Forbidden | ログイン画面を開いたとき | ログイン制限・IP制限 |
| サイト全体が501 | 何もしていないのに突然 | WAFのコマンド対策の誤検知 |
エックスサーバーのWAFで止められたときは、403のほかに501が出た報告もあります。個人ブログの報告では、サイト全体が501になった例がありました。原因は、広告の自動テストの通信をWAFが攻撃と判定したことでした。
ブロックエディタは、保存のときに裏側で通信しています。その通信が途中で止められると、画面には「JSONレスポンスではありません」と出ます。表示はWordPress側の文言なので、サーバー側の原因は書かれていません。
ログイン画面に入れない場合は、別の原因です。「エックスサーバーでWordPressにログインできない原因と解除手順」で原因別に整理しています。
6つの対策項目と止まりやすい中身
エックスサーバーのWAFは、6つの項目を個別にON・OFFできるしくみです。公式マニュアルが説明している、各項目が検知する中身は次のとおりです。
| 項目 | 公式マニュアルの説明（要約） | ブログで止まりやすい場面の目安 |
|---|---|---|
| XSS対策 | スクリプトタグを含むアクセス | 広告タグ・解析コードを貼った設定の保存 |
| SQL対策 | SQL構文に当たる文字列 | データベース操作の例文を書いた記事 |
| ファイル対策 | .htaccessなど設定ファイル名を含むアクセス | 設定ファイルの書き方を解説した記事 |
| メール対策 | to・cc・bccなどメールの見出し語 | 英文の多い記事・フォームの設定 |
| コマンド対策 | kill・ftp・mail・ping・lsなどの語 | 英文の多い記事・外部の計測ツール |
| PHP対策 | 脆弱性の元になりやすいPHPの関数 | PHPのコード例を書いた記事 |
右の列は、各項目の説明から推定した目安です。公式が「この操作で止まる」と示したものではありません。
個人ブログの報告で多いのは、コマンド対策の誤検知です。解析ツールのCookieや広告の自動テストの通信が止められ、サイトが501になった例が2件見つかりました。ファイル対策では、フォルダ名「etc」がリンクに入っていただけで止まった例があります。
1つずつOFFにする切り分け手順
原因の項目は、1つずつOFFにして保存を試すことで見つけます。全部OFFにすると直っても原因が分からず、ONに戻した瞬間に再発します。
WAF設定の開き方
個人ブログで紹介されている新サーバーパネルの手順は次のとおりです。
- サーバーパネルにログインする
- 「セキュリティ」の欄にある「WAF設定」を開く
- 対象のドメインを選ぶ（WAFはドメインごとの設定）
- 6つの項目のON・OFFを切り替える
- 確認画面に進み、「設定する」を押す
画面の細かい配置は、パネルの更新で変わることがあります。
疑わしい順にOFFにする
エラーが出た操作の中身から、疑わしい項目を先にOFFにします。広告タグや解析コードの保存ならXSS対策、英文やツールの通信ならコマンド対策からです。
1つOFFにしたら、反映を待ってから同じ保存操作を試します。通ったら、その項目が原因です。通らなければ、その項目をONに戻してから次の項目をOFFにします。
反映待ちで判断を誤らない
公式マニュアルによると、WAF設定の変更は反映まで最大30分ほどかかる場合があります。旧サーバーパネルでは最大1時間ほどです。
OFFにした直後に試して「直らない」と判断すると、無関係な項目まで次々にOFFにしてしまいます。1つ変えたら30分待つを守ると、切り分けの回数は最大6回で済みます。
ブラウザに古い表示が残り、直ったのに直っていないように見えた報告もあります。確かめるときは、シークレットウィンドウで開き直すと古い表示に惑わされません。
エックスサーバー ｜ 保存できないときの直し方
WAFの誤検知への3つの対処の比較
原因の項目だけOFFにすれば、残り5つの防御は動いたままです
| 手間 | 安全面 | 向く場面 | |
|---|---|---|---|
| 原因の項目だけOFF 1つずつ試して特定する | △ 反映待ちが最大6回 | ○ 残り5項目は動く | ○ ほとんどの場面 |
| 作業中だけ全部OFF 保存後すぐONに戻す | ○ 切り替えは1回 | △ OFFの間は無防備 | △ 保存が1回きりのとき |
| 全部OFFのまま使う 戻し忘れを含む | ○ 以後は止まらない | × 攻撃も止まらない | × 向く場面はない |
- ※反映時間はエックスサーバー公式マニュアル「WAF設定」にもとづきます（2026-10-16確認）
- ※作業中だけOFFにする場合も、反映待ちの時間は無防備になります
AI副業ラボ
ログと除外の現実
エックスサーバーでは、ConoHa WINGのような「ログを見て1件だけ除外」の手順が公式マニュアルに載っていません。WAF設定のマニュアルに書かれているのは、6項目の説明と反映時間だけです。
個人ブログの報告でも、利用者の側では特定のURLだけを除外できないと書かれています。除外が必要な場合は、サポートに相談したという事例があります。
アクセスログは、サーバーパネルの「アクセスログ」から日付を選んで見られます。公式マニュアルによると、ログは毎日午前4時ごろに日ごとのファイルとして作られます。エラーの直後に当日分を見られるかは、公式の説明からは確認できませんでした。
ログで分かるのは、どのURLに何番の結果が返ったかまでです。どの項目に引っかかったかは、アクセスログからは分かりません。
サポートに相談するときは、次の3点を控えて伝えると話が早く進みます。
- エラーが出た日時（分まで）
- 保存した画面のURL
- 出ていた表示（403・501など）
国外アクセス制限との見分け方
ブロックエディタだけが保存できないときは、WAFとは別の**「WordPressセキュリティ設定」の国外アクセス制限**も確認します。名前は似ていますが、サーバーパネルの別のメニューです。
公式マニュアルによると、国外アクセス制限はダッシュボードやREST APIへの国外からの接続を制限します。REST APIの制限がONだと、国外からWordPress 5.0以降を使うときに編集・保存できない場合があると書かれています。
この制限は、日本にいても引っかかることがあります。公式マニュアルは、Cloudflareなどの中継サービスや、海外のクラウドサービスからの接続も制限される場合があると説明しています。海外拠点のVPNを使っている人も、確認の対象です。
見分け方の目安は次のとおりです。
- VPNを切ると保存できる：国外アクセス制限を疑う
- 貼った中身を消すと保存できる：WAFの誤検知を疑う
- 自動投稿ツールの送信だけ403：国外アクセス制限を疑う
自動投稿ツールの403は「AI自動投稿が403で止まる｜エックスサーバーの国外制限」で切り分け方を書いています。
AIの下書きを貼るときの注意
ChatGPTやClaudeで書いた下書きをそのまま貼ると、コードの例やHTMLが混ざって保存で止まることがあります。AIの回答には、頼んでいないコードの例やHTMLの表が付くことがあるからです。
AIの下書きを使うときは、貼る前に次の3点を確認します。
- 記事に不要なコードの例やHTMLが入っていないか
- 表がHTMLの形で出力されていないか（エディタの表ブロックで作り直す）
- 英語の例文に、コマンド名に似た単語や記号の多い部分がないか
止まったときは、本文を半分ずつ保存すると原因の段落を絞り込めます。原因の段落が分かれば、その中身から疑う項目も決まります。
AIにエラーの相談をするときは、「エックスサーバーのWAF設定」と「出ている表示」をはじめに伝えてください。WordPress一般のエラーとして聞くと、プラグインの停止など遠回りの手順から返ってきやすくなります。
よくある質問
Q. WAFは初期設定でONになっていますか？
個人ブログの報告では、6項目とも初期状態はOFFという例があります。公式マニュアルでは、初期状態の記載を確認できませんでした。自分の状態は、サーバーパネルの「WAF設定」で確認できます。
Q. 1つの項目をOFFにしたままで危なくないですか？
OFFにした項目の種類の攻撃は、WAFでは止まらなくなります。残りの5項目の防御はそのまま動きます。公式マニュアルも、WAFは最低限の予防策で、WordPressやプラグインを最新に保つことが根本の対策だと説明しています。
Q. エラーが出た記事の内容は消えていますか？
保存が止められた時点の変更は、サーバーに届いていません。ブロックエディタの画面を閉じる前に、本文をメモ帳などにコピーしておくと安全です。原因の項目をOFFにしたあとで貼り直して保存できます。
Q. 原因が分かったあと、ずっとOFFのままにするしかないですか？
原因の中身を変えられるなら、ONに戻せます。個人ブログの報告では、フォルダ名を変えてWAFを有効のまま運用した例があります。広告の自動テストが原因だった例では、テストを止めたあとにONへ戻して安定していました。
まとめ
エックスサーバーで保存の瞬間に止まったら、まずWAF設定を疑います。
- ログイン後の保存で出た403・501・JSONエラー：WAFの誤検知を疑う
- 直し方の基本：6項目を1つずつOFFにし、原因の項目を特定する
- 反映待ち：1つ変えたら最大30分待ち、シークレットウィンドウで試す
- ブロックエディタだけ止まりVPNを使っている：国外アクセス制限も確認する
切り分けを始める前に、本文のコピーとエラーの時刻を控えておくと、サポートへの相談まで迷わずに進めます。
※本記事は情報提供を目的としたもので、副業・転職による収入や成果を保証するものではありません。料金・仕様は変動するため、利用前に必ず公式サイトでご確認ください。