FTP のパスワードが漏れれば、どこからでもサイトのファイルを書き換えられてしまいます。接続できる場所（IP アドレス）を絞っておくことが大切です。
本記事では、Xserver の管理画面の「FTP 制限設定」と、その実体である .ftpaccess というファイルの関係を、あるお客様のサーバーで許可の一覧を見直した作業の記録とともに説明します。
結論：管理画面の「FTP 制限設定」の実体は .ftpaccess
Xserver の公式マニュアルでは、「FTP 制限設定」は次のように説明されています（出典の1）。
- FTP で接続できる IP アドレスを設定し、設定した IP アドレスからのアクセスだけを許します。それ以外からの接続は、パスワードが一致しても拒否されます
- 「設定対象」で、「サーバーアカウント全体」か「該当ドメインのみ」かを選べます
- 「FTP 制限設定を設定すると、サーバー内に『.ftpaccess』が設置されます」と書かれています
- この設定も .ftpaccess も無い場合は、どの IP アドレスからも FTP で接続できます
| 比べる点 | 管理画面の「FTP 制限設定」 | .ftpaccess を直接置く |
|---|---|---|
| 設定の場所 | Xserver の管理画面 | FTP でファイルを置く |
| 効く範囲 | サーバーアカウント全体か、ドメインごと | 置いたフォルダーより下のすべて |
| 向く場面 | 少ない件数を画面で足す | 多くの接続元をまとめて入れる・退避と読み戻しで中身をそろえる |
.ftpaccess の書式も、公式マニュアルに載っています（出典の2）。
<Limit ALL> Order Allow,Deny Deny from all Allow from （許可する IP アドレス） Allow from （許可する IP アドレス） </Limit>
Deny from all で全体を拒否し、Allow from の行で許可する接続元を並べます。ホームのフォルダーに置けば、サーバーアカウント全体に効きます。
弊社が行った作業：管理画面で入っていた制限の一覧を見直す
2026年10月14日の作業です。このサーバーでは、管理画面の「FTP 制限設定」で、すでに接続元の制限が入っていました。FTP でログインした直後の場所（ホームのフォルダー）に .ftpaccess があり、9件の接続元が許可されていました。
- 既存の .ftpaccess を退避：変更前の全文を手元へ保存しました
- 許可する接続元の一覧を作る：既存の許可9件（締め出しを避けるため、すべて残した）・お客様の拠点の接続元12件・弊社の作業の接続元32件（IPv6 を含む）を合わせ、重複を除いて47件にしました。FTP を使わない接続元（外部の自動処理のサービスなど）は入れていません
- 送る：FTPS（暗号化した FTP）で、新しい .ftpaccess を送りました。送信は「226 Transfer complete」で終わりました
- 読み戻して比べる：送ったファイルをサーバーから取り戻し、手元のファイルと1文字ずつ一致することを確認しました
- つなぎ直す：FTP でつなぎ直し、ファイルの一覧（26行）が取れることを確認しました
- サイトの表示を確認：2つのサイトの Home など4ページが、通常どおり表示されることを確認しました
作業は4時40分から4時41分までで終わりました。
この設定だけでは足りないこと
- 自分を締め出さない：制限を入れると、許可の一覧に載っていない場所からは FTP でつなげません。既存の許可はすべて残し、作業する接続元が一覧に入っていることを確認してから反映します。公式マニュアルも、プロバイダーによっては IP アドレスが変わることがあると注意しています
- 接続先のフォルダーを下に指定した FTP アカウント：公式マニュアルには、FTP アカウントの接続先のフォルダーをホームのフォルダーより下（例：ドメインのフォルダー）に指定した場合、「サーバーアカウント全体」の FTP 制限設定は適用されない、と書かれています。こうした追加の FTP アカウントにも制限をかけるには、接続先のフォルダーに .ftpaccess を置きます。今回の「つなぎ直し」の試験は、この追加の FTP アカウントで行ったものです
- 管理画面のファイルマネージャー：FTP 制限設定をした状態でファイルマネージャーを使うには、サーバー自身を指すアドレスを許可に加える必要がある、とされています
Web の入口（http・https）を Cloudflare の経由だけに絞る方法は「Cloudflare を通らない直接の接続を、.htaccess で遮断する手順と確認方法」で説明しています。
出典
- Xserver「FTP 制限設定」 https://www.xserver.ne.jp/manual/man_ftp_id.php（2026/10/16 確認）
- Xserver「.ftpaccess」 https://www.xserver.ne.jp/manual/man_ftp_ftpaccess.php（2026/10/16 確認）