ロリポップでWordPressの記事や設定を保存した瞬間に「403 Error 不正なパラメーターが送信されたため、アクセスをブロックしました」と出たら、**原因はサーバーのWAF（ウェブアプリケーションファイアウォール）**です。ロリポップ公式FAQが、この文言をWAFによるエラーとして案内しています。

直し方は2つあります。対象ドメインのWAFを一時的に無効にする方法と、ログで見つけた検知ルールだけを除外する方法です。後者はハイスピードプランとエンタープライズプランでは使えません。

この記事は、ロリポップで副業ブログを運営していて、保存だけが弾かれる人向けにまとめました。手順と仕様はロリポップ公式マニュアルと公式FAQで確かめています。最終確認日は2026-10-19です。

エラーが出た場所で対処が変わる

同じ403の文言でも、どの画面で出たかによって直し方が違います。公式FAQは、表示された場所を次の3つに分けて案内しています。

表示された場所	公式FAQが示す原因	対処
WordPressの管理画面など、自分のサイト上の操作	WAF設定	WAFを一時的に無効にする、または除外する
ロリポップ！FTPでのファイル操作	ファイルの中身に検知される文字列がある	FTPソフトで操作する
ユーザー専用ページでの操作	調査が必要	サポートへ問い合わせる

副業ブログで多いのは1行目のケースです。広告タグや解析コードを貼った設定の保存や、コード例を含む記事の保存で起きます。どの文字列が止められたかは、後で説明するログで確かめられます。

2行目のロリポップ！FTPは、ブラウザから使うファイル管理の機能です。公式FAQによると、この画面では解決できません。FileZillaなどのFTPソフトに切り替えて同じ操作をします。

ログイン画面で403なら別の原因

WordPressのログイン画面や管理画面を開いた時点で403になるなら、WAFより先に「海外アタックガード」を疑います。VPNを使っていると、国内からでも海外のアクセスと判定される場合があります。症状別の見分け方は「ロリポップでWordPressにログインできない原因と直し方」にまとめました。

WAFを一時的に無効にする手順

いちばん確実な切り分けは、対象ドメインだけWAFを無効にして同じ操作をやり直すことです。公式FAQの手順は次のとおりです。

1. ユーザー専用ページにログインする
2. 「セキュリティ」から「WAF設定」を開く
3. エラーが出たURLのドメインで「無効にする」を押す
4. 設定が反映するまで10分ほど待つ
5. 同じ保存操作をもう一度試す
6. 作業が終わったら「有効にする」を押して元に戻す

WAFの設定はドメインごとに分かれています。ブログを複数持っている場合も、エラーが出たドメインだけを無効にすれば足ります。

10分待たずに試すと判断を誤る

公式FAQによると、WAF設定の反映には5分から10分ほどかかります。無効にした直後に試して「直らない」と判断すると、WAF以外の原因を探しに行ってしまいます。時計を見て10分たってから試すと、無駄な遠回りを防げます。

ブラウザに古い画面が残っていると、反映後でも失敗したように見えます。管理画面を再読み込みしてから保存し直してください。

戻し忘れが一番のリスク

ロリポップはWAFを「有効」のまま使うことを推奨しています。WAFは、不正アクセスによるサイトの改ざんや情報漏洩を防ぐ機能です。無効にしている間は、その守りが外れたままになります。

保存が終わったら、その場で「有効にする」を押してください。毎回のように同じ保存で止まるなら、無効と有効を繰り返すより、次の除外設定のほうが安全です。

10分待っても同じエラーなら

WAFを無効にして10分たっても同じ文言が出る場合、公式FAQは問い合わせを案内しています。お問い合わせフォームで「ログインできる」に進み、次の4点を書いて送ります。

• 表示されたエラーの文言
• 403が出たページのURL
• 表示された日時（年月日と時分）
• 403が出たときの操作の内容

ログから検知ルールだけ除外する方法

同じ保存で何度も止まるなら、WAFは有効のまま、引っかかった検知ルールだけを除外できます。公式FAQはこの検知ルールを「シグネチャ」と呼んでいます。シグネチャは、攻撃の文字列のパターンをまとめたものです。

止められたシグネチャを調べる

ユーザー専用ページの「セキュリティ」から「WAF設定」を開き、「ログ参照」を押します。検知があった場合は、ここに記録が表示されます。

1. エラーが出た日時に近い記録を探す
2. URLやIPアドレスから、自分のアクセスかを確かめる
3. 「検出されたシグネチャ」欄の文字列を控える

自分のアクセスかどうかは、公式FAQもIPアドレスやURLで判断するよう案内しています。自宅のIPアドレスは、ブラウザで「IPアドレス 確認」と検索すると出てくる確認サイトで調べられます。

.htaccessに1行ずつ書き足す

控えたシグネチャは、対象ドメインのデータを置いた階層の.htaccessファイルに書きます。公式FAQの書き方は次の形です。

SiteGuard_User_ExcludeSig 控えたシグネチャ

シグネチャが複数あるときは、1つにつき1行ずつ書きます。.htaccessファイルがなければ新しく作ります。

WordPressを入れたフォルダには、すでに.htaccessがある場合がほとんどです。WordPressは「# BEGIN WordPress」から「# END WordPress」までの間を自動で書き換えます。追記はこの範囲の外、ファイルの先頭に書くと、WordPress側の更新で消されません。

編集の前に、元の.htaccessを手元にコピーしておいてください。書き間違えるとサイト全体が表示されなくなる場合があります。その場合も、コピーを戻せば元の状態に戻せます。

除外はシグネチャ単位で最小限に

除外したシグネチャは、その.htaccessが効く範囲では、誰のアクセスでも検知されなくなります。攻撃に使われる文字列も通るようになるので、自分の操作で止められたものだけを書きます。ログに他人のアクセスが並んでいても、そのシグネチャまで除外しないでください。

プランで使える対処が違う

ハイスピードプランとエンタープライズプランでは、ログ参照と除外設定が使えません。公式マニュアルは、この2プランではログ参照の機能を利用できないと書いています。公式FAQも、サーバー名がspdやentで始まる場合は除外の方法を使えず、一時的な無効化だけで対応するよう案内しています。

ロリポップ ｜ WAFの対処

プラン別に使える対処の違い

公式マニュアルと公式FAQの記載をもとに整理

→ 表は横にスクロールできます

	一時的な無効化	ログ参照	シグネチャの除外
ハイスピード・エンタープライズ以外 ライトなど	○ ドメインごとに可能	○ 検知の記録を見られる	○ .htaccessで1行ずつ
ハイスピード・エンタープライズ サーバー名がspd・entで始まる	○ ドメインごとに可能	× 利用できない	× 利用できない

ハイスピードプランで同じ保存が何度も止まる場合は、作業のたびに無効化して戻す運用になります。保存する内容を見直せるなら、止められている広告タグやコード例を別の書き方にできないか確かめます。

他社サーバーとの違い

ロリポップのWAFは、オンとオフをドメインごとに1つのボタンで切り替える方式です。エックスサーバーのように、XSS対策やSQL対策など項目を分けてオフにする仕組みはありません。

そのため、無効にして直った場合も、どの種類の検知だったかは画面上では分かりません。原因まで知りたいときは、ログ参照の「検出されたシグネチャ」欄で確かめます。

他社サーバーでの同じ症状は、次の記事で整理しています。

• エックスサーバーで保存できない｜WAFの誤検知と6項目の切り分け
• ConoHa WINGで「閲覧できません」｜保存できない時のWAF対処

よくある質問

WAFを無効のままにしても大丈夫？

おすすめしません。ロリポップは有効の状態を推奨しています。公式FAQも、編集が終わったらセキュリティのため有効に戻すよう案内しています。毎回止まる操作があるなら、除外設定で対応してください。

プラグインのWAFとどちらが原因？

ロリポップのWAFで止められたときは、「不正なパラメーターが送信されたため、アクセスをブロックしました」という文言が出ます。セキュリティ系プラグインの画面やメッセージが出ている場合は、そのプラグインの設定を先に確かめます。

ブロックエディタで「更新に失敗しました」と出る

ブロックエディタは保存のときに裏側で通信しています。その通信がWAFで止められると、画面には403の文言ではなく、WordPressの「更新に失敗しました」などのメッセージが出る場合があります。WAFのログ参照で、同じ時刻に記録があるかを確かめると切り分けられます。

WAFを有効にしたらPHPのプログラムが動かない

公式FAQは、WAFによってCGIやPHPプログラムの動作に影響が出る場合があると説明しています。止められた通信は自動では復旧しません。自作のプログラムを置いている場合は、ログ参照で自分のアクセスが記録されていないか確かめてください。

まとめ

ロリポップで保存時に「不正なパラメーター」の403が出たら、次の順に進めます。

1. どの画面で出たかを確かめる（WordPressの管理画面ならWAF）
2. 対象ドメインのWAFを無効にして、10分待ってから保存し直す
3. 保存が済んだら、その場で「有効にする」に戻す
4. 何度も止まるなら、ログ参照で見つけたシグネチャだけを除外する
5. 無効にしても直らなければ、日時とURLを添えてサポートに問い合わせる

ハイスピードプランとエンタープライズプランは、4の除外設定が使えません。無効化と再有効化を1セットにして作業してください。

あわせて読みたい

• ロリポップでWordPressにログインできない原因と直し方
• エックスサーバーで保存できない｜WAFの誤検知と6項目の切り分け

参考にした情報

• WAFの設定方法｜ロリポップ！公式マニュアル
• 「403 Error 不正なパラメーターが送信されたため、アクセスをブロックしました」と表示されます｜ロリポップ！公式FAQ
• PHPやCGIでプログラムの記述変更をしたところ403errorが表示されます｜ロリポップ！公式FAQ

※本記事は情報提供を目的としたもので、副業・転職による収入や成果を保証するものではありません。料金・仕様は変動するため、利用前に必ず公式サイトでご確認ください。