10月21日の朝は、独立したあとの退職金の代わりとして、小規模企業共済とiDeCoを公式で調べて比べた記事を保存できて、公開までたどり着いています。
ところが、同じ朝に書いたもう1本の記事が、いまも保存できていません。止まったときに出たのは「403 Forbidden」という文字でした。
今回は、このエラーの意味と、いちばん怪しいと考えているConoHa WINGの「WAF」について、公式の説明を調べてみました。先に書いておくと、原因はまだ確定していませんし、その記事もまだ保存できていません。わかったところまでを、正直に記録します。
10/21の朝、2本目の記事だけが保存できなかった！
このブログでは、記事の下調べ・下書き・WordPressへの保存を、AI（Claude）に任せています。保存は、管理画面を手で開くのではなく、WordPressの「REST API」という仕組みを通して行っています。
REST APIは、プログラムから記事を作ったり更新したりできる、WordPressの公式の窓口です。WordPressの公式ハンドブックにも、記事の作成と更新のやり方が載っていました。
10月21日の5時40分ごろ、AIが2本の記事を続けて保存しました。結果はこうでした。
| 記事 | 結果 |
|---|---|
| 1本目（退職金の回） | 保存できた（いまは公開中） |
| 2本目（コメント欄とスパム対策の回） | 403 Forbidden で止まった |
同じ時間に、同じやり方で保存しているのに、片方だけが止まっています。ログインの情報やつなぎ方が悪いなら、2本とも止まるはずです。だから「2本目の本文の中身に、何か引っかかるものがあったのでは？？」と考えました。
1本は通って1本は止まる、というのがいちばん困るところ。「全部ダメ」なら設定を疑えるけど、片方だけだと、どこを見ればいいのか迷ってしまうんです。
「403 Forbidden」って何？？エラーの意味をまず調べてみた
まずはエラーの意味からです。Web技術の解説で定番のMDN（Mozilla）によると、403は「サーバーがリクエストを理解したものの、処理を拒否した」ことを表すエラーでした。
大事だと思ったポイントは2つです。
- よく似た401（認証が必要）とちがい、ログインし直しても結果は変わらない
- リクエストを変えずにくり返すと、同じエラーで失敗する可能性が高い
つまり「届いてはいるけど、わざと断られている」状態です。同じものを何度送っても通らない、というのも今回の様子と合っていました。
怪しいのはWAF？？ConoHa WINGのWAFを公式で確かめてみた
「中身を見て断る」仕組みとして思いあたったのが、WAFです。このブログのサーバー、ConoHa WINGのサポートページでは、WAF（Webアプリケーションファイアウォール）を「Webアプリケーションの脆弱性を悪用した攻撃からWebサイトを保護するセキュリティ機能」と説明していました。特定のIPアドレスからのアクセスを止める設定もできるそうです。
WAFの設定画面の場所も、公式の手順に載っていました。
- ConoHaのコントロールパネルにログインする
- 上のメニューで「WING」を選ぶ
- 左のメニューで「サイト管理」を開く
- サイト管理の左メニューで「サイトセキュリティ」を開く
- 上のタブから「WAF」を開く
ここにある「利用設定」を「ON」にすると、WAFが有効になると書かれていました。
ただ、WAFが最初からオンになっているのかどうかは、公式ページには書かれていませんでした。このブログでWAFがオンになっているのかも、まだ画面で確かめていません。なので今の時点では「WAFが止めたのかもしれない」という見込みにとどまっています。
ConoHa WINGのサポートで「WAFが記事の保存を止めることがある」という、よくある質問やトラブルの案内も探してみましたが、見つけられませんでした。
言いかえて2回保存し直したけど、通らなかった
止まったあと、AI（Claude）が本文の書き方を変えて、2回保存し直しました。たとえば「[X]」と書いていたところを「○」に変える、といった言いかえです。
でも、2回とも同じ403で止まりました。
「どの言葉が引っかかったのか」がわからないまま言いかえるのは、目かくしで鍵穴をさがすようなもの。当てずっぽうで直すより、止めた側の記録を見たほうが早そうです。
ネットでは「こういう言葉がWAFに引っかかりやすい」という話も見かけます。ただ、ConoHa WINGの公式で確かめたものではないので、ここでは決めつけないことにしました。WAFではない、別の理由で止まっている可能性も、まだ残っています。
WAFのログの見方と、その攻撃内容だけ除外するやり方
うれしかったのは、ConoHa WINGのWAFには、止めた記録（ログ）を見る画面があることでした。公式の説明では、WAFの画面の「表示切替」で「ログ」を選ぶと、止められたアクセスの情報が出てきて、「絞込み条件」で並べかえもできるそうです。
ログに出ている内容のうち、止めてほしくないものは、その攻撃内容だけを「除外」できます。
- ログの中から、除外したい攻撃内容の「除外」を押す
- 確認の画面で「はい」を押す
- 「表示切替」で「除外中」を選ぶと、いま除外しているものを確かめられる
除外した攻撃内容のアクセスは、止められなくなります。元に戻したいときは「ログ」の画面から「除外解除」で戻せる、とも書かれていました。
| やり方 | 止まらなくなる範囲 |
|---|---|
| 攻撃内容ごとに「除外」 | 除外したその攻撃内容だけ |
| 「利用設定」で切りかえ | WAF全体のスイッチ |
WAF全体をオフにする手順や、そのときの注意は、公式ページでは確認できませんでした。でも、WAFはブログを攻撃から守るための機能です。記事1本を通すためにまるごと切ってしまうと、守りが全部なくなってしまいます。なので私は、WAFはまるごと切らず、ログで確かめた攻撃内容だけを除外すると決めました。
ログに10月21日の朝、記事の保存を止めた記録があれば、WAFが原因だった見込みがぐっと強くなります。逆に何も出ていなければ、WAF以外を疑う番です。どちらでも、次の一歩が決まります。
今回わかったことと、次にやること
2026年10月24日の時点で、2本目の記事はまだ保存できていません。WAFのログも、まだ私が見ていません。
- 403は「届いたうえで断られた」エラーで、同じ内容を送り直しても通りにくい
- ConoHa WINGのWAFは、サイト管理の「サイトセキュリティ」→「WAF」にある
- 止めた記録は「表示切替」の「ログ」で見られて、攻撃内容ごとに「除外」できる
- 原因がWAFかどうかは、まだ確定していない
次にやることは、この順番です。
- 私がConoHa WINGの画面で、WAFがオンになっているかと、10月21日の朝のログを確かめる
- ログに記録があれば、その攻撃内容が何かを確かめてから、それだけを除外する
- AI（Claude）に2本目の記事を保存し直してもらい、通ったかどうかを記録する
AIに作業を任せていても、サーバーの画面を見て判断するのは私の役目だと、今回あらためて感じました。保存できたら、何が引っかかっていたのかも含めて、続きをこのブログに書きます。
同じ朝に保存できた1本目：独立したら退職金ってどうなるの！？小規模企業共済とiDeCoを公式で調べて比べてみた！
コメント