注意：OSや事業者によって設定方法が異なります。公式ドキュメントを確認して実施してください。
初動は「認証 → 更新 → 公開範囲」の順
1. 認証を強化するSSH鍵や多要素認証など、OS・サービスが対応する強い認証を使います。
2. 権限を分ける普段の作業用ユーザーと管理者権限を分離し、必要な操作だけに絞ります。
3. OSとアプリを更新する更新前にバックアップを取り、変更内容と復旧手順を記録します。
4. 公開範囲を絞る使わないポートやサービスを開けず、管理用の接続元も必要に応じて制限します。
5. 復旧できることを確認するバックアップが実際に復元できるかを小さくテストします。
Linux VPSでの具体的な手順（Ubuntu・Debianの一例）
必ず「いまの接続を閉じずに」、別の端末から新しい設定でログインできると確認してから進めてください。設定を誤ると自分が入れなくなります。コマンドはUbuntu・Debianの一般的な例で、RHEL系（Rocky・Alma）ではコマンドが異なります。事業者の初期設定やコンソール機能も確認してください。
1. SSH鍵でログインする
手元のパソコンで鍵ペアを作り、公開鍵だけをサーバーに登録します。秘密鍵はサーバーに置かず、パソコンの外に持ち出さないようにします。
ssh-keygen -t ed25519 ssh-copy-id ユーザー名@サーバーのIP
鍵でログインできると確認してから、パスワード認証を止めます。
2. rootで直接ログインしない
作業用ユーザーを作り、管理者権限（sudo）を持たせます。
adduser 作業用ユーザー名 usermod -aG sudo 作業用ユーザー名
作業用ユーザーで鍵ログインとsudoが使えると確認できたら、/etc/ssh/sshd_config で次を設定します。
PermitRootLogin no PasswordAuthentication no
sudo systemctl restart ssh
サービス名はOSにより ssh または sshd です。
3. ファイアウォールで開けるポートを絞る
Ubuntuで使われるufwの例です。SSHを許可してから有効にします（先に許可しないと、自分も接続できなくなります）。
sudo ufw allow OpenSSH sudo ufw allow 80/tcp sudo ufw allow 443/tcp sudo ufw enable
80・443は、Webサイトを公開するときだけ開けます。事業者のパネル側にも別のファイアウォールがある場合は、両方の設定を確認します。
4. 不審なログインを自動で止める（Fail2ban）
sudo apt update && sudo apt install fail2ban
インストールだけでSSHの保護が有効になるディストリビューションもあれば、設定が必要なものもあります。導入後は sudo fail2ban-client status で動作を確認してください。SSHのポート番号を変える方法もありますが、攻撃の「ついで」を減らす程度の効果で、鍵認証とファイアウォールの代わりにはなりません。
5. 更新を入れる
sudo apt update && sudo apt upgrade
更新の前にバックアップ（またはスナップショット）を取ります。カーネル更新のあとは再起動が必要な場合があります。
Windows VPSの場合
SSHの代わりにRDP（リモートデスクトップ）で接続します。Administratorの初期パスワードを強いものに変え、RDPの接続元IPを自分のIPに絞る（ファイアウォールの規則で制限する）のが基本です。
安全性は、設定より「戻せるか」で判断する
重要なのは設定を増やすことではなく、変更を記録し、失敗時に戻せる状態を作ることです。
保存用チェックリストに戻る →