さくらのVPSのセキュリティ初期設定：最初にやる5つの対策【2026年版】

VPS は、サーバーの 管理者権限をまるごと渡してもらうサービス です。自由に使える反面、セキュリティ設定も利用者の仕事 になります。

さくらのVPS では、2026年に入って利用者向けの重要なお知らせが続きました。2026年8月26日には「管理者パスワード変更のお願い」、10月16日には Linux カーネルの脆弱性への対応として、全リージョンで新規申し込みの一時停止 が案内されています。

この記事では、さくらインターネットの公式マニュアル「サーバー作成直後に設定しておくべき初期セキュリティ設定」に沿って、契約直後にやる5つの対策 を整理します。すでに使っている人の見直しにも、申し込み再開を待つ人の予習にも使える内容です。

さくらのVPSのセキュリティ初期設定とは？一言でまとめると

一言でまとめると、「入口を鍵だけにして、不要な扉を閉じ、締め出されたときの裏口を確保する」 作業です。公式マニュアルの内容を、やる順に5つにまとめると次のとおりです。

※ 2026年10月19日時点（さくらの VPS マニュアル「サーバー作成直後に設定しておくべき初期セキュリティ設定」）。

標準OSの初期状態を知っておく

設定の前に、さくらのVPS の 標準OS（コントロールパネルからインストールする OS） がどんな状態で渡されるかを押さえておきます。

• 管理ユーザー：新しい標準OS は、管理用の一般ユーザーを用意し、root としてログインしない方式 で提供されています。AlmaLinux 9 は alma、Rocky Linux 9 は rocky、Ubuntu 26.04 は ubuntu です。ただし公式マニュアルによると、AlmaLinux 9・Rocky Linux 9 では root の SSH ログインを明確には禁止していない ため、③ で禁止します
• SELinux：AlmaLinux 9・Rocky Linux 9 では 無効の状態で提供 されています。公式マニュアルは、運用に慣れたら有効化を検討するよう勧めています
• AppArmor：Ubuntu などでは 原則として有効 の状態で提供されています
• 認証方式：OS インストール時に 公開鍵を設定すると公開鍵認証 でログインでき、パスワードでのログインを許可するかも選べます

公式マニュアルは、標準OS は 多くの人が使いやすいように一部のセキュリティ強化設定を無効にして提供している と明記しています。つまり、渡された状態のまま本番で使うのは前提になっていない ということです。

さくらのVPS のサービス全体の特徴は、こちらの記事で解説しています。

あわせて読みたい

さくらのVPSとは？料金・特徴・使ってみた感想を正直にまとめる【2026年版】

【2026年10月】今これを確認したい理由

最近の公式のお知らせを2つ整理します。

※ 2026年10月19日時点（さくらのVPS ニュース）。

① パスワード変更のお願い（8月26日）

対象は、契約時にメールで受け取った管理者の初期パスワードを、変えずに使っている人 です。次のいずれかに当てはまる人は対象外とされています。

• 発行された初期パスワードを使っていない
• 受け取った後に自分で変更した
• 契約時に自分でパスワードを入力した
• 2022年9月1日以降に契約した（一部対象になる場合があり、対象者にはメールで連絡済み）

公式は、自分が対象か分からない場合も 念のため変更することを推奨 しています。あわせて、公開鍵認証の利用、パスワード認証の無効化、SSH の接続元 IP の制限、ログイン履歴の確認、不要なアカウントの削除 を推奨策として挙げています。これは、この記事の ①〜④ とほぼ重なります。

② 新規申し込みの一時停止（10月16日）

10月16日のお知らせでは、現在契約中のプランは通常どおり稼働している とされています。一方で、脆弱性への対応として ホストメンテナンスを含むメンテナンスを行う可能性 があり、実施する場合は対象の利用者に日時などを案内するとしています。

2026年10月19日時点で、再開時期の案内は出ていません。 これから申し込む人は、再開まで待つことになります。

① 管理者パスワードを変える・公開鍵を用意する

最初にやるのは、ログインの鍵を自分だけのものにする ことです。

パスワードを変更する

初期パスワードのまま使っている人は、管理者でログインしてパスワードを変更します。手順は、使っている OS の「標準OSセットアップ情報」（公式マニュアル）にあります。

ログインできなくなった場合 は、コントロールパネルの VNC コンソール から再起動し、GRUB メニューを表示してシングルユーザーモードなどでリセットできる場合があります。ただし、公式はシングルユーザーモードの 技術サポートは行っていない としています。

公開鍵を用意する

公式マニュアルは、SSH のログインは 公開鍵認証だけにするのが望ましい としています。手元の PC（WSL2 や macOS など）で鍵のペアを作り、公開鍵だけをサーバーに置きます。

# 手元の PC で鍵のペアを作る
ssh-keygen

# 公開鍵をサーバーに転送する（Rocky Linux 9 の例。ユーザー名は OS に合わせる）
ssh-copy-id rocky@YOUR-SAKURA-VPS-HOSTNAME

これから OS をインストール（再インストール）するなら、コントロールパネルで公開鍵を登録しておく のが簡単です。公開鍵を選んだ場合、パスワード認証を明示的に許可しない限り、最初から公開鍵認証に限定された状態 で提供されます。

初回接続では fingerprint を確かめる

初めて SSH で接続するとき、サーバー固有の「ホスト鍵の fingerprint」 が表示されます。公式マニュアルは、中間者攻撃を避けるため、VNC コンソールやシリアルコンソールで fingerprint を確認し、一致してから yes と答える よう案内しています。

② セキュリティアップデートを当てる

標準OS は、さくらインターネットが作成した時点のパッケージ で提供されます。そのため、ログインしたら まずアップデート です。

# AlmaLinux・Rocky Linux の場合
sudo dnf update

# Ubuntu の場合
sudo apt update
sudo apt upgrade

# 適用のために再起動（判断できなければ再起動を推奨）
sudo reboot

公式マニュアルは、アップデートは 初回だけでなく継続して行う必要がある としています。毎回手作業が難しい場合は、dnf-automatic などで自動化する方法 も紹介されています。

10月16日のような カーネルの脆弱性 は、ホスト側（さくらインターネットの設備）の対応とは別に、自分のサーバーの OS でも各ディストリビューションの修正が出たら当てる のが基本です。

③ SSH：root ログインを禁止し、公開鍵認証に限定する

次は SSH の入口を固めます。公式マニュアルが 強く推奨 しているのは次の2つです。

手順の流れは次のとおりです（Rocky Linux 9 の例）。

1. 一般ユーザーで SSH ログインし、sudo が使えることを確かめる
2. sudoedit /etc/ssh/sshd_config で上の2つの値を設定する
3. sudo systemctl restart sshd で反映する
4. 別の端末から新しく SSH ログインできることを確かめてから、作業中の接続を閉じる

公式マニュアルは、設定ミスでログインできなくなるのを防ぐため、シリアルコンソールなどを開いたまま設定し、正しくログインできると確認してからログアウトする ことを勧めています。

Ubuntu の注意点

公式マニュアルは Ubuntu 24.04 について、手順に2つの違いがあると注意しています。

• サービス名が sshd ではなく ssh（sudo systemctl restart ssh）
• /etc/ssh/sshd_config には最初から PermitRootLogin prohibit-password が書かれており、ファイルの末尾に追記しても無視される。既存の行を書き換えるか、/etc/ssh/sshd_config.d/99-custom.conf に設定を書く 方法が推奨されています

Ubuntu 26.04 を使う場合も、設定後に実際に root でログインできないこと を確かめておくと安心です。

SSH のポート番号の変更は「おまけ」

SSH のポートを 22 番から変える方法はよく紹介されますが、公式マニュアルは 「万全ではありません」 としています。ポートスキャンで見つかりますし、よく使われる番号も知られているためです。まずは公開鍵認証とファイアウォール、ポート変更は攻撃の数を減らす補助と考えましょう。

④ ファイアウォール：パケットフィルターとOSのどちらを使う？

さくらのVPS には、コントロールパネルで設定できる 「パケットフィルター」 があります。OS 側のファイアウォール（firewalld・ufw など）と、どちらか一方を使います。

※ 2026年10月19日時点（さくらの VPS マニュアル「パケットフィルター」「サーバー作成直後に設定しておくべき初期セキュリティ設定」）。

選び方の目安

• 手軽さ重視・IPv4 だけで使う → パケットフィルター。コントロールパネルで「サーバー」→ 対象サーバー →「パケットフィルター設定」→「パケットフィルター設定を追加する」の順に進めます。SSH の接続元を自宅や会社の IP に絞る こともできます
• IPv6 を使う・細かいルールが必要 → OS のファイアウォール。Rocky Linux 9 の標準OS では firewalld が無効の状態 なので、sudo systemctl enable --now firewalld で有効にします

注意したいのは、両方を同時に使わない ことです。公式マニュアルは、どちらで通信を止めているか分かりにくくなるため、OS のファイアウォールを使うなら パケットフィルターは「利用しない」にする よう勧めています。

パケットフィルターは ICMP や、サーバーから外へ通信した戻りのパケット（32768〜65535 番）などを 常に許可 する仕様です。より厳しく管理したい場合は OS 側を選びましょう。

ゲームサーバーのように 独自のポートを開ける用途 では、パケットフィルターのカスタム設定を使います。具体例は さくらのVPSでマイクラサーバーを立てる手順 で紹介しています。

⑤ 締め出し・故障への備え：コンソールとバックアップ

最後に、うまくいかなかったときに戻れる道 を用意しておきます。

SSH で入れなくてもコンソールがある

SSH やファイアウォールの設定を間違えても、コントロールパネルの VNC コンソール・シリアルコンソール からサーバーに入れます。SSH を経由しないので、設定を直すための裏口 になります。設定作業の前に、コンソールでログインできることを確かめておく と安心です。

バックアップ機能は無い前提で考える

公式のよくある質問では、さくらのVPS には標準・オプションともにバックアップの機能はない と回答しています。代わりに、同じゾーンなら複数台構成が可能 なので、他のサーバーとデータを同期する、重要なデータは手元に保存するなどの対応を求めています。

公式コラム「さくらのVPSで始めるDR対策」（2026年8月7日）では、本番とは別のリージョンにバックアップ用の VPS を置く 構成も紹介されています。リージョンごとの料金差は、こちらで整理しています。

あわせて読みたい

さくらのVPSは石狩・大阪・東京どれ？料金差と選び方【2026年版】

手間を減らすなら：スタートアップスクリプト「Setup and update」

これから OS をインストール（再インストール）するなら、公式の スタートアップスクリプト「Setup and update」 で初期設定の一部をまとめて済ませられます。全プランで使え、初回起動時に次のような処理を選んで実行できます。

• パッケージの更新（yum update / apt upgrade）
• SSH ポートの変更、ログインユーザー名の変更
• ファイアウォールの有効化（RHEL 系は firewalld、Ubuntu は ufw、Debian は nftables）
• SELinux の有効化（RHEL 系のみ）
• スワップの作成、タイムゾーンの変更 など

注意点は2つです。ファイアウォールを有効にする場合は パケットフィルターを「使用しない」に すること、SSH ポートを変えた場合は パケットフィルターに新しいポートが自動では追加されない ことです。

なお、10月16日のお知らせで止まっているのは新規申し込みや 持ち込み ISO のインストール などで、標準OS の再インストールは停止対象として挙げられていません（2026年10月19日時点）。

利用者の声：初期設定でつまずきやすい点

さくらのVPS の初期設定を公開している個人の記録から、つまずいた点を紹介します。いずれも 書かれた時点の OS・画面での記録 です。

• Zenn のつるくもさんは、2024年 の記事で Ubuntu 20.04 の初期設定を公開しています。パケットフィルターを使わずに ufw で管理し、root ログイン禁止・パスワード認証の無効化まで行ったうえで、設定を誤って締め出された場合はコントロールパネルの VNC・シリアルコンソールから復旧できる と書いています（出典）
• Zenn のかーくさんは、2021年 の CentOS 7 の記録で、SSH のポートを変えた後に firewalld を有効にしたところ SSH がつながらなくなり、VNC コンソールから入ってポートを追加して復旧した と書いています（出典）

2つに共通するのは、SSH とファイアウォールの設定順を間違えると自分が締め出される ことと、コンソールが復旧の手段になった ことです。⑤ の「コンソールの確認」を先に済ませておく理由がここにあります。

料金・申し込み：再開を待つ人が確認しておくこと

さくらのVPS の料金は、プランとリージョンで決まります。主なプランの月額料金は次のとおりです。

※ 料金は2026年10月19日時点（さくらのVPS 公式「料金・仕様」、月額払い・税込）。年額払いはおよそ1か月分お得です。

申し込み前に知っておきたい点をまとめます。

• 新規申し込みは2026年10月16日から一時停止中（10月19日時点で再開時期は未定）。再開は公式のお知らせで確認してください
• 最新の Ubuntu 26.04 は 512MB プランでは選べない（1GB 以上が必要）
• クレジットカード払いなら2週間の無料お試し があり、お試し中は外向き25番ポートが閉じられています
• 最低利用期間は3か月、プランは上げられても 下げられない（スケールダウン不可）

申し込みが再開したら、公式サイトから申し込めます。

月額643円から使える！さくらのVPS

急ぎで VPS が必要な場合は、他社も含めた比較が参考になります。

あわせて読みたい

【2026年版】ConoHa VPS・さくらのVPS・Xserver VPS 徹底比較、初心者にはどれが向いている？

よくある質問

Q. 初期パスワード変更のお知らせのメールが来ていません。何もしなくてよいですか？

A. 公式は、メールを受け取っていない場合は対象ではない としています。ただし、契約時の初期パスワードを使っているか分からない場合は、念のため変更することを推奨しています。

Q. 新規申し込みの停止中、契約中のサーバーは使えますか？

A. 10月16日のお知らせでは、現在契約中のプランは通常どおり稼働している とされています。ただし、スケールアップは受付を停止しています。

Q. パケットフィルターと ufw（firewalld）は両方使った方が安全ですか？

A. 公式マニュアルは、どちらで通信を止めているか分かりにくくなるため、どちらか一方にする ことを勧めています。

Q. SSH のポート番号を変えれば十分ですか？

A. 公式マニュアルは 万全ではない としています。公開鍵認証とファイアウォール を先に設定しましょう。

Q. さくらのVPS に自動バックアップはありますか？

A. よくある質問では、標準・オプションともにバックアップ機能はない と回答しています。別のサーバーとの同期や手元への保存で備えます。

まとめ

さくらのVPS のセキュリティ初期設定のポイントをまとめます。

• ① パスワード：初期パスワードは変更、SSH 用の 公開鍵 を用意
• ② アップデート：標準OS は作成時点のパッケージ。ログインしたらまず更新、その後も継続
• ③ SSH：root ログイン禁止（PermitRootLogin no）と 公開鍵認証に限定（PasswordAuthentication no）
• ④ ファイアウォール：パケットフィルターか OS のどちらか一方。IPv6 を使うなら OS 側
• ⑤ 備え：VNC・シリアルコンソール を確認、バックアップ機能は無い 前提で別サーバーや手元に保存
• 2026年10月の状況：10月16日から新規申し込みを一時停止（10月19日時点で再開未定）、契約中のプランは通常どおり稼働

すでに使っている人は、まず パスワードと SSH の設定 を見直すところから始めましょう。これから申し込む人は、再開を公式のお知らせで確かめてから申し込むのが確実です。

月額643円から使える！さくらのVPS

IT Picks 編集部

ITツール・Webサービス紹介メディア

IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。