※本記事にはプロモーションが含まれます。
WordPressテーマ「Cocoon」の設定で、「ヘッド用コード」にGA4(Googleアナリティクス)のタグを貼って保存しようとしたら、白い画面に「閲覧できません(Forbidden access)」と表示されて保存できませんでした。ブログを始めたばかりで、「え、もう壊した?」と焦りました。
結論から言うと、私の場合の原因は、ConoHa WINGのWAF(セキュリティ機能)の誤検知でした。WAFを一時的にOFFにして保存し、保存できたらONに戻して解決しました。
先に大事なことを書いておくと、WAFは必ずONに戻してください。理由は、記事の後半で私のログを見せながら説明します。
なお、この記事は「私の環境(ConoHa WING + Cocoon)」での話で、2026年10月時点の内容です。管理画面の名前や場所は変わることがあるため、最新の情報は公式サイトで確認してください。
この記事の流れは、症状 → 混乱したポイント → 原因 → 手順 → 注意点、の順です。
ConoHa WINGの契約からWordPressのセットアップまでの流れは、こちらの記事にまとめています。
ConoHa WINGの始め方の記事はこちら
どんな症状が出たか
Cocoon設定の「ヘッド用コード」にGA4の<script>タグを追加して保存しようとしたところ、次の画面が出ました。
- 白い画面に「閲覧できません(Forbidden access)」と表示された
- 「入力したURLや値が正しくない可能性」という趣旨の日本語と英語の説明が出ていた
補足として、Search Console(Googleの検索状況を確認するツール)の認証コードは、GA4より先に同じ場所へ貼って、問題なく保存できていました。止められたのは、GA4のタグを追加したときでした。
「Powered by SiteGuard」と出るのにプラグインが見当たらない
エラー画面の右下には「Powered by SiteGuard」と出ていました。
「SiteGuard」という名前から、WordPressのSiteGuardプラグインが原因だと思い、プラグインの一覧を探しました。でも、入っていませんでした。同じように迷う人がいるかもしれないので、先に書いておきます。
SiteGuardという表示と、ConoHa WINGのWAFがどう関係しているのかは、私は確認していないので、ここでは断定しません。私の場合は、結果としてConoHa WINGのWAFをOFFにしたら保存できた、という事実だけをお伝えします。
原因はConoHa WINGのWAFの誤検知だった
WAFとは、Webサイトへの不正なアクセスや攻撃を防ぐ仕組みのことです。ConoHa WINGでは、コントロールパネルから使うセキュリティ機能の一つになっています。
私の場合は、貼ったタグ(<script>を含むコード)を、WAFが攻撃と誤って判断して止めていたことが原因でした。なぜ誤検知されたのかという技術的な理由までは、私は確認していません。
解決手順:WAFを一時的にOFF → 保存 → ONに戻す
私がやった手順は次のとおりです(2026年10月時点)。
- ConoHaコントロールパネルを開く
- 「サイト管理」→「サイトセキュリティ」→「WAF」タブを開く
- 「利用設定」をOFFにする
- Cocoon設定の「ヘッド用コード」にGA4のタグを貼って保存する
- 保存できたことを確認する
- すぐにWAFの「利用設定」をONに戻す
結果、保存できました。
OFFにしていた時間は、正確には測っていません。「保存できたらすぐ戻した」ということだけ、お伝えしておきます。
2026年10月19日にWAFの画面を開いて、利用設定が「ON」になっていることを確認しました。
画面の名称や場所は変わる可能性があるので、迷ったらConoHa WING公式サイトのサポート情報を確認してください。
保存できたあとの確認
保存後、GA4のリアルタイムレポートを開くと「アクティブユーザー1」と表示され、計測できていることを確認できました。
Search Consoleの所有権確認は、先に完了していたので、今回の手順の対象ではありませんでした。
注意点:WAFは必ずONに戻す
私は保存できたあと、WAFをONに戻しました。その理由は、WAFの画面にあるログを見たからです。
2026年10月19日にWAFのログを確認したところ、ブロックされた記録が141件ありました。サイトを開設してから約1か月のタイミングです。攻撃内容の欄には、「トラバーサルの試み」「OSコマンドインジェクション」といった表示がありました。
これらの言葉は、次のような攻撃を指します。
- ディレクトリトラバーサル:URLに「../」などを入れて、本来は見られないサーバー内のファイルを読み出そうとする攻撃
- OSコマンドインジェクション:入力欄やURLに細工をして、サーバーに勝手な命令を実行させようとする攻撃
また、WAFのログには、開設したばかりなのに、海外のIPアドレスからphpinfo.phpを狙ったアクセスがブロックされた記録もありました。phpinfo.phpは、サーバーのPHPのバージョンや設定が一覧表示されるファイルです。攻撃者は、これが残っていないか探して、攻撃の手がかりにしようとします。
私のログから分かったのは、公開してまだ間もない小さなサイトでも、攻撃のような不審なアクセスは来ているということです。だから私は、OFFにする時間を、保存作業に必要な間だけにしました。
ただし、ここまでが私のログで確認できた範囲です。「OFFにすると○○の被害が出る」とまでは言えませんし、他の人に「OFFにして大丈夫です」と勧めるつもりもありません。私はこうした、という記録として読んでください。
WAFをOFFにしない方法もある(私は試していません)
WAFのログの各行には「除外」というボタンがありました。私は試していませんが、ConoHa WINGの公式サポートに手順が載っています。
公式サポート:https://support.conoha.jp/w/waf/
公式サポートの説明によると、流れは次のとおりです。
- ログの「除外」を押し、確認画面で「はい」を選ぶと、その攻撃内容は遮断されなくなる
- 「表示切替」→「除外中」で、除外した内容を確認できる
- 「除外解除」で元に戻せる
ここで注意したいのは、除外した種類の攻撃は防げなくなるということです。誤検知を避けられる一方で、本物の攻撃が同じ種類だった場合も通してしまうことになります。
私のサイトはコメント欄を開いているので、この方法は使わないことにしました。コメント欄やお問い合わせフォームがあるサイトでは、特に慎重に考えたほうがよいと思います。使うかどうかは、公式サポートの内容を読んだうえで、自分のサイトの状況に合わせて判断してください。
SiteGuardプラグインなど、ほかの原因について
私の環境では、プラグイン一覧で探して確認した結果、SiteGuardプラグインは入っていませんでした。
セキュリティ系のプラグインを入れている環境などでは、原因が違う可能性もあります。ただ、私はそのケースを経験していないので、ここでは「そういう可能性もある」とだけ書いておきます。
まとめ
- Cocoonの「ヘッド用コード」が「Forbidden access」で保存できなかった原因は、私の場合、ConoHa WINGのWAFの誤検知だった
- WAFを一時的にOFFにして保存し、すぐONに戻したら解決した
- ONに戻すのは、私のログで、開設から約1か月のサイトでも141件のブロック記録があったから
- 「除外」ボタンという方法もあるが、除外した種類の攻撃は防げなくなるので、コメント欄やフォームがあるサイトは注意が必要(私は試していない)
この記事は、私の環境(ConoHa WING + Cocoon)での、2026年10月時点の体験です。うまくいかない場合は、レンタルサーバーのサポートや公式情報を確認してください。
サイトを立ち上げるまでの全体の流れは、こちらの記事にまとめています。
ConoHa WINGの始め方の記事はこちら
コメント