FTPとSFTPの違いとは？初心者向けに仕組みと使い分けを解説

「取引先から『FTPをやめてSFTPに切り替えてほしい』と連絡が来たが、何が違うのか分からない。」ファイルのやり取りで急にこうした言葉に出会い、上司にどう説明すればよいか戸惑う会社員の方は少なくありません。

FTPとSFTPの最も大きな違いは、通信の中身を途中の人に読まれるかどうかです。FTPははがき、SFTPは封をした手紙のようなもので、この差が安全性と取引先への説明のしやすさを決める要素です。この記事を読めば、2つの方式の基本と4つの違い、名前の似たFTPSとの見分け方が分かります。

さらに、取引先に合わせた選び方と切り替えの進め方までを整理できます。

FTPとSFTPとは？ファイル転送の基本

FTPとSFTPはどちらも、離れた場所にあるコンピューターとファイルを送受信するための通信の方式です。違いは通信の中身を守る仕組みがあるかどうかで、名前が似たFTPSという3つ目の方式もあります。

FTPとは：昔から使われてきたファイル転送の方法

FTPは、1970年代に原型が生まれ、長く使われてきたファイル転送の方式です。プロトコルと呼ばれる通信の約束ごとの1つに当たります。送る側と受け取る側が同じ手順を守るので、メーカーの違うコンピューター同士でもファイルを受け渡しできます。

利用には、転送ソフトと呼ばれる専用のアプリを使うのが一般的です。ただし、FTPには通信の中身を隠す仕組みがありません。ログインに使うIDとパスワードも、ファイルの中身も、そのままの形で回線を流れます。

途中の人が読めるはがきで書類を送る状態に近いといえます。

SFTPとは：暗号化された通信で送る方法

SFTPは、暗号化された通信の中でファイルを送受信する方式です。暗号化とは、途中で通信を見られても中身が読めない形に変えることを指します。封をした手紙で送る状態に近く、IDとパスワードもファイルも経路の途中では読めません。

土台になっているのはSSHという、離れたサーバー（ファイルを置いて受け渡す相手側のコンピューター）を安全に操作するための仕組みです。SFTPはその機能の1つとして動くため、名前にFTPが入っていても、FTPの改良版ではありません。この点が、次に説明するFTPSとの違いにつながります。

FTPSはSFTPと名前が似た別物

FTPSは、FTPの通信に暗号化の層をかぶせた方式です。かぶせる暗号化はTLSといい、Webサイトのアドレスがhttpsで始まるときに使われている仕組みと同じものです。土台がFTPのままなので、FTPの改良版と呼べるのはSFTPではなくFTPSのほうになります。

SFTPとFTPSは「S」の位置が違うだけの似た名前ですが、土台が違うため互いに接続できません。取引先から「SFTPで」と言われたのか「FTPSで」と言われたのかを聞き違えると、接続の準備がやり直しになります。

FTP・SFTPという言葉を目にする場面

FTPやSFTPという言葉を目にするのは、情報システム部門の人だけではありません。代表的なのは、取引先から「FTPでのデータ受け渡しを終了し、SFTPに切り替える」という案内が届く場面です。受発注データや請求データを定期的に送り合っている会社では、この連絡を受ける機会があります。

ほかにも、Web制作会社にホームページの画像や原稿を渡すときに、FTPという名前が出てきます。複合機でスキャンした書類をサーバーへ送る設定でも同じです。仕組みを知っておけば、担当者や取引先に確認する内容が具体的になります。

FTPとSFTPの違いを4つのポイントで比較

FTPとSFTPの違いは4点に表れます。通信の中身が読めるか、社内ネットワークの入口をいくつ開けるか、本人確認をパスワードで行うか鍵で行うか、そして速度です。

取引先との調整で実際に手間になるのは、暗号化そのものより入口の数と本人確認の方法だといえます。次の表では、3つの方式の土台の違いも合わせて示します。速度は「違い4」で説明します。

比較する点	FTP	SFTP	FTPS
通信の中身	そのまま流れる（読める）	暗号化される（読めない）	暗号化される（読めない）
開ける入口の数	2つ。1つは接続のたびに変わる	1つ	2つ。FTPと同じ
本人確認	IDとパスワード	IDとパスワードに加えて鍵が使える	IDとパスワードに加えて、身分証の役割をする電子証明書が使える
土台	FTP	SSH（FTPとは別の仕組み）	FTPに暗号化を足したもの

違い1：通信の中身が読めるかどうか

1つ目の違いは、通信の中身を途中の人が読めるかどうかです。FTPでは、IDとパスワードもファイルの中身も暗号化されずに回線を流れます。暗号化されていないこうしたデータを平文といい、通信経路に不正に入り込んだ第三者がいれば、そのまま読み取り可能です。

SFTPでは、通信のすべてが暗号化された状態で流れます。途中で盗み見られても中身は読めず、パスワードを盗まれる危険が下がるのが利点です。FTPの安全性を整理した1999年の技術文書でも、標準のFTPはパスワードを平文で送ると明記されています。

違い2：入口の数と社内ネットワークの通しやすさ

2つ目の違いは、社内ネットワークで開ける入口の数です。会社のネットワークにはファイアウォールという受付があり、決められた入口以外の通信を通しません。FTPは命令用と転送用の2つの入口を使います。

転送用の入口は接続のたびに変わるため、受付に広めの範囲を開けてもらう必要があります。SFTPは入口が1つで、命令もファイルも同じ通路を通る仕組みです。開ける入口が1つで済むため、ネットワークの担当者や外部の業者に頼む設定が少なく、取引先側の準備も軽くなります。

 FTPSは暗号化されていても土台がFTPなので、入口の数はFTPと同じです。

違い3：本人確認はパスワードか鍵か

3つ目の違いは、本人確認の方法です。FTPで使えるのはIDとパスワードだけですが、SFTPではそれに加えて公開鍵認証という方法が使えます。パスワードが「言えば誰でも通る合言葉」だとすると、公開鍵認証は「持っている人しか開けられない家の鍵」に当たります。

自分の手元に秘密の鍵を置き、相手のサーバーには対になる公開の鍵を登録して本人確認をする仕組みです。秘密の鍵そのものは通信に流れないため、途中で見られても盗み取られる心配がありません。

取引先から「公開鍵を送ってください」と言われたら、この登録用の鍵のことを指しています。夜間に自動で動く転送のように、人がパスワードを打てない場面でも使えるのが利点です。

違い4：速度は回線や設定にも左右される

4つ目は速度です。一般に、SFTPは暗号化の処理があるためFTPより遅いと説明されます。転送ソフトWinSCPの公式資料でも、SFTPは暗号化と応答待ちのために一般に最も遅いと整理されています。

ただし、遅さの原因は暗号化だけではありません。Microsoftは自社のクラウドサービスの資料で、SFTPは小さな単位でデータをやり取りするため、回線の遅延の影響を大きく受けると説明しています。

遅いと感じたときは、暗号化だけでなく回線や設定も確認の対象です。担当者に相談するときも、「暗号化のせいで遅い」と決めつけずに伝えるほうが、原因にたどり着きやすくなります。

FTPを使い続けると何が問題になるか

FTPの問題は「古いから」ではありません。取引先や監査から指摘される理由は2点です。パスワードが盗み見られる形で流れることと、主要なブラウザがFTPへの対応を終え、クラウド事業者の側にも平文のFTPをインターネットに公開する構成を認めない例が出ていることです。

パスワードが途中で盗み見られる

FTPを社外との通信に使うと、IDとパスワードが読める形で流れます。これが最大の問題です。国家公安委員会・総務省・経済産業省が2026年3月に公表した2025年の統計では、警察が検挙した不正アクセスのうち9割以上が他人のIDとパスワードを使う手口でした。

この統計は通信の方式ごとに集計したものではありません。それでも、盗まれたIDとパスワードが不正アクセスの最大の入口であることは変わりません。読める形で送る仕組みを社外向けに残す理由はないといえます。

ブラウザはFTPを廃止、クラウドも公開を制限

FTPの受け皿は世の中から少しずつ消えています。Google Chromeは2021年にFTPへの対応を終了し、Firefoxも同じ年に対応を終了しました。

Firefoxを開発するMozillaはその理由を、FTPがデータを平文で送るため、送信中のデータの窃取やなりすまし、改ざんを許すからだと説明しています。

たとえばAWSのファイル転送サービス「AWS Transfer Family」では、平文のFTPは利用者ごとに閉じたクラウド内のネットワーク（VPC）の内側からしか接続できない構成に限られ、インターネットに公開する構成はサポートされていません。インターネットを経由してデータを送る場合は、SFTPやFTPSのような安全なプロトコルを使う必要があるとしています。

FTPそのものは、転送ソフトを使えば今も利用可能です。それでも、大手のクラウド事業者が平文のFTPの公開を認めていない例があることは、取引先へ説明するときの根拠になります。

取引先や上司に聞かれたときの答え方

取引先のセキュリティチェックシートで「暗号化していない通信はありますか」と問われたとき、平文のFTPは説明が難しい項目です。政府機関向けの対策基準でも、ネットワークカメラなどの機器について、TelnetやFTPなどのサービスのうち使っていないものはすべて止めることが重要だとされ、複合機についても不要な機能や脆弱性が指摘されている通信プロトコルを止めるよう求めています。使われないまま残っているFTPは、指摘の対象になり得ます。

上司に説明する場合、要点は次の3つです。

• 今のFTPは、IDとパスワードをそのまま回線に流している
• 主要なブラウザはFTPへの対応を終え、平文のFTPをインターネットに公開する構成を認めないクラウド事業者もある
• 切り替えは取引先ごとに順番に進めるので、業務を止めずに進められる

費用や期間は、切り替える相手の数に応じて見積もる旨を伝えておきます。

FTPからSFTPへ：選び方と切り替えの手順

方式は取引先の指定に合わせるのが最短で、自社で選べるなら基本はSFTPです。切り替えは一斉に行わず、使っている場所の洗い出し、取引先への確認、新旧の並行運用の順に進めれば、業務への影響を抑えられます。

取引先の指定が最優先、なければSFTP

取引先が方式を指定している場合は、その指定に合わせるのが基本です。SFTPを指定されたときは、先に3点を決めておきましょう。公開鍵の受け渡し方法、初回の接続で相手のサーバーが本物かを確かめる手順、送信元の固定が必要かどうかです。

FTPSを指定されたときは、暗号化の始め方に2種類あるため、どちらの方式かを必ず確認します。

自社の状況	向いている方式	理由
取引先がSFTPを指定している	SFTP	合わせるのが最短。鍵の受け渡しと確認の手順を先に決める
取引先がFTPSを指定している	FTPS	暗号化の始め方の種類と、電子証明書の発行元を先に確認する
自社が受け口を用意して複数の取引先を受ける	SFTP	開ける入口が1つで済み、相手側の設定も少ない
相手が転送ソフトを入れられない	ブラウザ完結型のサービス	相手はファイルを受け取るためのURLをブラウザで開くだけで済む

FTPを残してよいのは社内限定の場合だけ

FTPを残せるのは、社内の閉じたネットワークの中で機密ではないデータを自動で転送している場合だけです。それも、置き換えの手間が見合わないときに限ります。AWS Transfer Familyが平文のFTPを閉じたネットワークの内側でしか提供していないのも、同じ線引きです。

インターネットに向けて開いたままのFTPサーバーは、それ自体が情報の出口になります。株式会社ラックが2016年に公表した注意喚起では、パスワードなしで外部から入れるFTPサーバーで、国内の約3,400の組織や個人の情報が公開状態になっていました。

中には請求書や従業員名簿が置かれていた例もあります。管理者が分からないまま残っているサーバーがないかを、まず確かめることが大切です。

切り替えは3ステップ：洗い出し・確認・並行

切り替えは、次の3つの手順を取引先ごとに順番に進めます。一斉に切り替える必要はありません。

1. 使っている場所を洗い出す。自社のサーバー、複合機などの機器、夜間に自動で動く処理、取引先との定期的な送受信の4つに分けて数えると漏れが減ります。
2. 取引先ごとに方式を確認する。聞くのは、方式がSFTPかFTPSか、本人確認がパスワードか鍵か、切り替えの希望時期はいつかの3点です。
3. 新しい受け口を先に用意し、古いFTPと並行して動かす。切り替えが済んだ相手が増えてから、最後に古いFTPを止めます。

取引先が数十社ある場合、連絡と接続テストの往復には想定以上の時間がかかります。相手の担当者の都合もあり、自社の都合だけでは日程が決まらないため、期間には余裕を持たせておくことが大切です。

失敗しないための基本ルール4つ

切り替えでつまずきやすい点は決まっています。次の4つを守れば、多くの手戻りを防げます。

• 古いパスワードを使い回さない。FTPで使っていたパスワードは盗まれていた可能性がある前提で、SFTPの鍵とパスワードは新しく発行します。
• 転送ソフトの対応を確かめる。転送ソフトの中にはSFTPに対応していないものもあるため、社内で使っているソフトが対応しているかを事前に確認します。
• 行が崩れたら改行の設定を疑う。SFTPは多くの場合、改行の形式を変換せずにそのまま送るため、Windowsと別の環境で改行の扱いが違うと、表のデータで行がずれることがあります。
• すべて切り替わるまで古いFTPを止めない。切り替え時期が一番遅い相手に合わせて、並行運用の期間を決めます。

手作業で送るファイルはサービス型という選択肢

システム同士が自動でやり取りする転送は、SFTPへ置き換えるのが基本です。一方、担当者が手作業で送る見積書や納品データは、ブラウザだけで完結するサービスへ受け渡しの方法ごと変えるほうが向いています。移行先のサービスにコマンドラインツールやWebAPIが用意されていれば、自動の転送の一部をサービス側へ移行できる場合もあります。

方式の置き換えと送り方の変更は別の話

ファイルの受け渡しは2つに分けて考えるのが基本です。取引先から方式を指定されている転送は、SFTPやFTPSへの置き換えが中心です。

一方、見積書や納品データのように人が手作業で送受信するファイルは、ブラウザで完結するファイル転送・共有サービスへ移す方法が適しています。サービスへ移した場合、自社でサーバーを運用し続ける場合に必要な、更新プログラムの適用や鍵の管理といった手間を事業者側に任せられます。SFTPに移行しても鍵の登録や削除は自社の仕事として残るため、どこまでを自社で持つかを先に決めておくことが重要です。

GigaCC ASPでできること

手作業で行う受け渡しの受け皿として、ブラウザで完結するサービスがあります。企業間ファイル転送・共有サービス「GigaCC」の法人向けクラウドストレージ「GigaCC ASP」は、ファイル送信機能、ファイル共有機能、セキュリティ・管理の3つを1つのサービスで提供しています。

相手は、届いた受取URL（ファイルを受け取るためのリンク）をブラウザで開くだけです。相手側に転送ソフトも鍵も要りません。

送ったあとに宛先の間違いに気づいたときは、受取URLを無効にする機能が標準で使えます。誰がいつ何を誰に送ったかは履歴ログとして残り、200項目以上の検索項目から絞り込んで、表計算ソフトで開けるCSV形式で確認可能です。

また、有償オプションのコマンドラインツールやWebAPI機能を使えば、社内のシステムからGigaCC ASPへのファイルのアップロード・ダウンロードを自動化することもできます。ただし、取引先からSFTPやFTPSを指定されている受け渡しは、指定された方式での対応が必要です。

GigaCC ASPの標準機能と料金

標準機能と有償オプションは次のように分かれています。表の2要素認証・2段階認証は、パスワードに加えてもう1つの確認を求める仕組み、IPアドレス制限は、決めた場所からしか使えないようにする仕組みです。自社でサーバーを運用し続ける場合の人件費と並べて比べると、判断しやすいでしょう。

区分	内容
標準機能	SSL/TLSによる経路の暗号化、サーバ内暗号化（AES 128ビット）、2要素認証・2段階認証、IPアドレス制限、ウイルスチェック、履歴ログ管理
有償オプション	自動転送に使うコマンドラインツール、社内のシステムから直接ファイル操作を自動化するWebAPI機能
認証・実績	ISMSクラウドセキュリティ認証（ISO/IEC 27017:2015）、プライバシーマーク。累計1,000社以上に導入
料金	Standardプランは10IDで月額12,000円から（税別）。初期費用50,000円（税別）が別途必要

まとめ

FTPとSFTPの最も大きな違いは、通信の中身を途中で読めるかどうかです。ほかにも、開ける入口の数、本人確認の方法、速度の考え方が違い、名前の似たFTPSはSFTPとは別の方式です。方式は取引先の指定を最優先し、自社で決められるならSFTPを基本にします。

切り替えは一斉に行わず、使っている場所の洗い出しから始めて、取引先ごとに順番に進めるのが基本です。まずは、社内でFTPを使っている場所を4つの区分で洗い出すことから始めるとよいでしょう。担当者が手作業で送るファイルは、ブラウザで完結する企業間ファイル転送・共有サービス「GigaCC」へ移行する方法もあります。

あわせて検討すると、切り替え後の手間を減らせます。