トーナメントアクセス再構築のご提案

Chapter 1

現在の環境と脆弱性

現在の環境

どのくらい危険な状態か

トーナメントアクセスの画面や管理機能は、PHP というプログラム言語で動いています。その PHP に、2026年10月、重大な脆弱性が公表されました。

悪用されると、何が起きるか

サーバーに入り込まれると、大会のサイトが、大会名や主催企業名を表示したまま攻撃に使われるおそれがあります。被害を受けるのは来場者で、問い合わせや苦情は大会の主催企業・協賛社、そしてエール・クリエート様に届くことになります。

1. 1サーバーに入り込まれるPHP の脆弱性を突かれ、外部からプログラムを実行される
2. 2大会サイトが書き換えられる「○○カップ 交通・駐車場案内」など、大会名・主催企業名のページのまま中身だけ差し替えられる
3. 3来場者が偽のサイトへ誘導される「駐車場の事前予約はこちら」などの偽の案内から、別のサイトへ移される
4. 4来場者が被害を受ける偽のサイトを開いただけで、端末がウイルスに感染する
5. 5問い合わせ・苦情が届く「大会の公式案内から被害に遭った」として、主催企業・協賛社、エール・クリエート様へ

PHP だけを新しくしても、安全にはなりません

サポートが終わっているのは PHP だけではありません。OS、Webサーバー、フレームワーク、データベース、ブラウザ側の部品も同じ状態で、どれか1つに穴があれば、そこから侵入されるおそれがあります。ボタンで、PHP だけを新しくした場合と、すべて作り直した場合を比べられます。

これまでの経緯と、これからの予定

Chapter 2

新システムのご提案

トーナメントアクセスをすべて作り直し、サーバーをさくらのVPSから Cloudflare に移します。ご提案の中心は、第1章でご報告した状態を繰り返さないためのセキュリティ対策です。あわせて、現在の年間6万円の運用費用もなくなります。構築した当社が責任をもって、安全な環境への移行を進めます。

現行と新システムの比較

来場者が画面を見るときと、ご担当者が管理画面で更新するときに、情報がどこを通るかを図にしました。ボタンで現行と新システムを切り替えられます。図の中の「対策01」などの番号は、下の「セキュリティ対策」の番号です。

セキュリティ対策

個別の不具合を一つずつ直すのではなく、問題が起きにくい仕組みで安全を保ちます。暫定対応にも同じ対策を入れます。

ドメイン（tournament-access.com）の DNS を Cloudflare に移し、現行と同じ URL で公開します。印刷物や QR コード、主催者サイトのリンクはそのままお使いいただけます。

運用費用の見直し

Cloudflare の利用料が0円に収まるかは、過去の大会のアクセス実績を、Cloudflare の無料枠の数え方に当てはめて見積もりました。

無料枠に収まると見込む根拠と、超えた場合の対応

• 元にしたのは、弊社が提出したアクセス報告の実績です。エリエール2025は5日間で5,833件（駅情報のみ）、コスモスカップ2026は10日間で約1.6万件（駐車場あり）で、いずれも最も多い日の数字で比べました。
• 新しい構成では、ページの表示1回が Workers のリクエスト1件にあたります。画像、CSS などは静的ファイルとして配信し、リクエスト数に数えられません。経路検索のクリックだけは中継URLを通るため1回につき1件増えますが、最多日でも約100件です。
• 1日約5万回のページ表示まで無料枠に収まります。コスモスカップ2026の最多日の約11倍、エリエール2025の約27倍にあたります。
• 無料枠を超えても、自動で課金されることはありません。ただし、その日の残り（日本時間の午前9時まで）は画面がエラーになるか、アクセスの記録が止まります。記録に失敗しても画面の表示は止めない作りにし、大会期間中は弊社が利用量を確認します。無料枠の5割を超えそうな場合は、有料プラン（月5米ドル、月1,000万リクエストまで）への切り替えをご相談します。
• ドメインの更新費用は、登録先を移した後はエール・クリエート様から Cloudflare へ直接のお支払いとなります。

できること

現行の機能をそのまま作り直します。新しい機能は加えません。

期間と前提

• 構築には約2か月前後かかります。開始時期はご相談のうえ決めます。
• 過去の大会のデータは移行しません。旧サーバーのデータは、さくらのVPSを解約する前に書き出して保管します。
• ガラケー向けの表示は廃止します。
• 画面の見た目は現行に近いものとします。見た目の刷新も、オプションとしてご相談いただけます。
• 経路検索は、現行の地図の埋め込みから、Google マップの経路画面を開く方式に変わります。

Cloudflare のご契約にあたっての注意点

新システムは、11月19日から始まる大王製紙エリエールレディスオープン2026には間に合いません。そのため、大会のページだけを先に公開する「暫定対応」を、次の章でご提案します。暫定対応で作る土台は、新システムにそのまま引き継ぎます。

Chapter 3

暫定対応（大王製紙エリエールレディスオープン2026）

新システムの完成には約2か月かかるため、11月19日から始まる大会に向けて、大会のページだけを先に、新システムと同じ安全な環境で公開します。見た目と URL（https://tournament-access.com/?tm=dsel）は現行と同じですので、公式サイトのリンクや印刷物を変える必要はありません。完成は11月9日を目標とします。

できること

更新機能つきと固定版

管理画面を作らない「固定版」もお選びいただけます。大会期間中に情報を更新できる更新機能つきをおすすめします。

前提

• 掲載内容（大会名、日程、駅情報、地図、インフォメーション）は、従来どおりご提供ください。
• 管理画面で変更できるのは上の項目です。駅の基本情報や画像の変更は、弊社が行います。
• ドメイン（tournament-access.com）は現在、当社が契約しています。DNS を Cloudflare に移した後、登録先もエール・クリエート様の Cloudflare アカウント（Cloudflare Registrar）に移し、以後はエール・クリエート様の管理とさせていただきます。移す際に登録期間が1年延長され、以後の更新費用はエール・クリエート様のお支払いとなります。11月9日の公開には必須ではないため、公開後に行います。
• 過去の大会のデータは移行しません。ガラケー向けの表示は廃止します。

Chapter 4

日程とお願い

暫定対応は約7〜9日分の作業です。10月30日頃までにご発注のご判断とアカウントのご準備が整わないと、11月9日の完成に間に合わないおそれがあります。

暫定対応の日程

10月30日頃までのお願い

ご確認いただきたいこと

お伝えしておきたいこと

• アクセス計測は現行と同じ条件で記録し、ご報告の数値を前年と比べられるようにします。プライバシーポリシーに、記録している旨を追記します。
• ガラケー向けの表示は廃止します。

Chapter 5

技術的な補足

技術のご担当者向けの要点です。新システムと暫定対応で同じ構成を使い、暫定対応の成果をそのまま新システムに引き継ぎます。