トーナメントアクセス再構築のご提案

Chapter 1

現在の環境と脆弱性

どのくらい危険な状態か

トーナメントアクセスの画面や管理機能は、PHP というプログラム言語で動いています。その PHP に、2026年10月、重大な脆弱性が公表されました。

悪用されると、何が起きるか

サーバーに入り込まれると、大会のサイトが、大会名や主催企業名を表示したまま攻撃に使われるおそれがあります。被害を受けるのは来場者で、問い合わせや苦情は大会の主催企業・協賛社、そしてエール・クリエート様に届くことになります。

1. 1サーバーに入り込まれるPHP の脆弱性を突かれ、外部からプログラムを実行されます
2. 2大会サイトが書き換えられる「○○カップ 交通・駐車場案内」など、大会名・主催企業名のページのまま中身だけ差し替えられます
3. 3来場者が偽のサイトへ誘導される「駐車場の事前予約はこちら」などの偽の案内から、別のサイトへ移されます
4. 4来場者が被害を受ける偽のサイトを開いただけで、端末がウイルスに感染します
5. 5問い合わせ・苦情が届く「大会の公式案内から被害に遭った」として、主催企業・協賛社、エール・クリエート様へ届きます

現在の環境

これを機に、すべてを作り直すことをおすすめします

これまでの経緯と、これからの予定

1. 2026年10月21日PHP の開発元が重大な脆弱性（PHP2shell）を公表しました。現行の環境では修正できないため、これを受けて当社の判断でサイトを停止しました
2. 2026年10月22日IPA・JPCERT/CC が注意喚起を公表しました
3. 2026年11月13日暫定対応の完成を目標としています
4. 2026年11月19日〜大王製紙エリエールレディスオープン2026が始まります
5. 2026年12月31日さくらのVPSの現在の契約期間が満了します（延長も可能です）

Chapter 2

新システムのご提案

サーバーをさくらのVPSから Cloudflare に移すだけでなく、プログラムやデータベースなどの技術構成も新しくすることで、セキュリティ性を高めます。

現行と新システムの比較

来場者が画面を見るときと、ご担当者が管理画面で更新するときに、情報がどこを通るかを図にしました。ボタンで現行と新システムを切り替えられます。図の中の「対策01」などの番号は、下の「セキュリティ対策」の番号です。

セキュリティ対策

個別の不具合を一つずつ直すのではなく、問題が起きにくい仕組みで安全を保ちます。暫定対応にも同じ対策を入れます。

ドメイン（tournament-access.com）の DNS を Cloudflare に移し、現行と同じ URL で公開します。印刷物や QR コード、主催者サイトのリンクはそのままお使いいただけます。

Cloudflare とは？

Cloudflare（クラウドフレア）は、Webサイトの配信やプログラムの実行、セキュリティ対策などを提供する米国の会社です。世界中に拠点があり、アクセスが集中しても表示が遅くなりにくく、大量の通信による妨害からもサイトを守ります。

料金は、使った分に応じて決まる従量課金制です。ただし、一定の量までは無料で使える「無料プラン」があり、トーナメントアクセスの利用量はこの無料プランの範囲に収まる見込みで、運用コストを下げられます。万一超える場合でも、有料プランは月額5米ドルからです。

無料プランに収まるかどうかは、過去の大会のアクセス実績を、Cloudflare の無料枠の数え方に当てはめて見積もりました。

無料枠に収まると見込む根拠と、超えた場合の対応

• 元にしたのは、弊社が提出したアクセス報告の実績です。エリエール2025は5日間で5,833件（駅情報のみ）、コスモスカップ2026は10日間で約1.6万件（駐車場あり）で、いずれも最も多い日の数字で比べました。
• 新しい構成では、ページの表示1回が Workers のリクエスト1件にあたります。画像、CSS などは静的ファイルとして配信し、リクエスト数に数えられません。経路検索のクリックだけは中継URLを通るため1回につき1件増えますが、最多日でも約100件です。
• 1日約5万回のページ表示まで無料枠に収まります。コスモスカップ2026の最多日の約11倍、エリエール2025の約27倍にあたります。
• 無料枠を超えても、自動で課金されることはありません。ただし、その日の残り（日本時間の午前9時まで）は画面がエラーになるか、アクセスの記録が止まります。記録に失敗しても画面の表示は止めない作りにし、大会期間中は弊社が利用量を確認します。無料枠の5割を超えそうな場合は、有料プラン（月5米ドル、月1,000万リクエストまで）への切り替えをご相談します。

Cloudflare のご契約にあたっての注意点

機能要件

現行の機能を使用できるようにします。

デザイン・レイアウトの刷新

新システムへの作り直しに合わせて、画面のデザインとレイアウトも新しくすることをご提案します。仕組みを作り直すこの機会に行うと、画面を作り直す手間を一度で済ませられます。

1. 1現状の整理現行の画面と、来場者がよく見るページを洗い出します
2. 2デザイン案スマートフォン・PC の主要画面のデザインをご提案します
3. 3ご確認・修正エール・クリエート様にご確認いただき、修正します
4. 4画面への反映新システムの画面として作り込み、実機で確かめます

デザイン・レイアウトの刷新は新システムの構築に合わせて行い、11月の暫定対応は現行と同じ見た目で公開します。

期間と前提

• 構築は2026年12月〜2027年2月頃を予定しています（デザイン・レイアウトの刷新を含みます）。
• 過去の大会のデータは移行しません。旧サーバーのデータは、さくらのVPSを解約する前に書き出して保管します。
• ガラケー向けの表示は廃止します。
• 経路検索の使い方は変わりません。駐車場ページの「経路検索」ボタンを押すと Google マップが開き、現在地からのルートが表示されます。変わるのは裏側の仕組みで、現在地の取得をページ側ではなく Google マップに任せます。ページ側でプログラムを動かさずに済むため、安全性が上がります。

Chapter 3

暫定対応（大王製紙エリエールレディスオープン2026）

新システムの構築（2026年12月〜2027年2月頃）は、11月19日から始まる大会に間に合いません。そのため、大会のページだけを先に、新システムと同じ安全な環境で公開します。ここで作る土台は、新システムにそのまま引き継ぎます。見た目と URL（https://tournament-access.com/?tm=dsel）は現行と同じですので、公式サイトのリンクや印刷物を変える必要はありません。完成は11月13日を目標とします。

機能要件

更新機能つきと固定版

管理画面を作らない「固定版」もお選びいただけます。大会期間中に情報を更新できる更新機能つきをおすすめします。

前提

• 掲載内容（大会名、日程、駅情報、地図、インフォメーション）は、従来どおりご提供ください。
• 管理画面で変更できるのは上の項目です。駅の基本情報や画像の変更は、弊社が行います。
• ドメイン（tournament-access.com）は現在、当社が契約しています。DNS を Cloudflare に移した後、登録先もエール・クリエート様の Cloudflare アカウント（Cloudflare Registrar）に移し、以後はエール・クリエート様の管理とさせていただきます。移す際に登録期間が1年延長され、以後の更新費用（年10.46米ドル程度）はエール・クリエート様のお支払いとなります。11月13日の公開には必須ではないため、公開後に行います。
• 過去の大会のデータは移行しません。ガラケー向けの表示は廃止します。

Chapter 4

日程とお願い

暫定対応は約3〜5日分の作業で、11月4日頃から着手したいと考えています。それまでにご発注のご判断とアカウントのご準備が整わないと、11月13日の完成に間に合わないおそれがあります。

暫定対応の日程

着手（11月4日頃）までのお願い

確認事項

• 大会ごとに、更新できる方を分ける必要があるかをお知らせください（新システムでは、利用者ごとに担当大会を設定できます）。

Chapter 5

費用

暫定システムと新システムの構築費、新システムでの運用費用をまとめました。

Cloudflare の無料プランに収まる根拠は、第2章「Cloudflare とは？」をご覧ください。ドメインの更新費用は、2026年10月時点の Cloudflare の .com の料金です。登録元の料金改定により変わる場合があります。

大会ごとの環境構築費

大会ごとに当社へお支払いいただく環境構築費は、これまでと変わりません。

Chapter 6

まとめ

今回のご提案で、トーナメントアクセスはより安全で、運用費用を抑えられ、見やすく、これからも育てやすい仕組みに生まれ変わります。