はじめに
ホームページを公開する前に、セキュリティを確認します。
セキュリティというと、難しい設定や専門的なPluginを想像するかもしれません。
でも、初心者が最初に行うことはもっと基本的です。
WordPressを更新する
+
パスワードを守る
+
権限を絞る
+
サーバー側の防御を確認する
+
バックアップを確認する一つの強力な設定で守るのではなく、基本的な対策を重ねます。
今回は、公開前に最低限確認しておきたい項目へ絞ります。
公開後の継続的なセキュリティ運用は第42章で扱います。
セキュリティは「一つ入れれば完成」ではない
セキュリティPluginを入れた。
パスワードを長くした。
WAFをONにした。
それだけで、すべてのリスクがなくなるわけではありません。
WordPress公式も、WordPress本体・Theme・Pluginを最新に保つこと、強いパスワード、適切な権限、バックアップなど複数の対策を組み合わせる考え方を案内しています。
大切なのは、
一つの対策へ依存しないこと
です。
WordPress・Theme・Pluginは更新されている？
公開前に、更新が残っていないか確認します。
対象は主に、
- WordPress Core
- Theme
- Plugin
です。
古いソフトウェアには、すでに知られている脆弱性が残っている場合があります。
ただし、公開後の更新は、
バックアップ確認
↓
更新
↓
表示・機能確認という流れで安全に行う必要があります。
詳しい更新 / メンテナンスは第41章で扱います。
アカウントとログインを確認する
パスワードは強く、使い回さない
WordPress管理画面のパスワードは重要です。
避けたいのは、
- 名前
- 店名
- ドメイン名
- 短いパスワード
- 他サービスと同じパスワード
など、推測や使い回しによるリスクです。
長く、固有のパスワードを使います。
自分で大量のパスワードを覚えようとするより、パスワードマネージャーを利用する方法もあります。
WordPressにはパスワード強度メーターもあります。
管理者は必要な人だけにする
WordPressにはユーザー権限があります。
たとえば、
- 管理者
- エディター
- 投稿者
- 寄稿者
- 購読者
などです。
すべての人を管理者にする必要はありません。
記事を書く人なら、管理者権限が不要な場合があります。
考え方は、
その人の仕事に必要な権限だけ渡す
です。
また、
みんなで同じ管理者アカウントを共有するより、一人ずつアカウントを作り、必要な権限を割り当てた方が管理しやすくなります。
2FAも検討する
パスワードだけでなく、もう一つの認証要素を組み合わせる方法が2FAです。
管理者など重要なアカウントでは導入を検討します。
現在のWordPress Coreには通常の管理画面ログイン用2FAが標準搭載されていないため、必要に応じて信頼できるPluginやIDプロバイダーなどを利用します。
具体的な運用方法や復旧は第42章で扱います。
サーバーと通信の安全性を確認する
Xserver側のWordPressセキュリティも確認する
WordPress側だけでなく、ホスティング側にもセキュリティ機能があります。
XserverにはWordPressセキュリティ設定があり、国外からのダッシュボードへのアクセスなどを制限する機能があります。
通常利用で問題がない設定を、理由なく解除する必要はありません。
「動かないから全部OFF」
ではなく、必要な機能との関係を確認して変更します。
HTTPSで表示されている？
公開URLを実際にブラウザーで開き、
https://で表示されているか確認します。
HTTPSは、ブラウザーとサーバーの通信を暗号化するために重要です。
管理画面やパスワードを扱うサイトでは特に基本となります。
公開前に、
- トップページ
- 固定ページ
- 問い合わせページ
- WordPressログイン
などを確認します。
Plugin・Themeは正規のものを使う
無料・有料を問わず、ThemeやPluginは信頼できる配布元から入手します。
また、
「使っていないけれど、とりあえず残しておく」
Pluginを増やし続けないことも大切です。
公開前に、
- 本当に使う？
- 更新されている？
- 入手元は信頼できる？
を確認します。
継続的なPlugin / Theme管理は第42章で扱います。
公開前に復旧と問い合わせも確認する`
バックアップがあるか確認する
セキュリティ対策をしても、事故を完全になくすことはできません。
そのためバックアップが必要です。
Xserverでは自動バックアップ機能が提供されていますが、
「自動であるから何も知らなくてよい」
ではありません。
公開前に、
- 何がバックアップされる？
- どの程度保持される？
- どこから復元する？
を最低限確認します。
バックアップの仕組みと復元は第32章で詳しく扱います。
問い合わせフォームをテストする
問い合わせフォームも公開前に確認します。
- 実際に送信できる？
- 管理者へ届く？
- 自動返信は必要？
- Spam対策は機能している？
セキュリティとは「攻撃を防ぐ」だけではありません。
必要な機能が正常に動く状態を維持することも重要です。
公開前セキュリティ チェックリスト
公開前に、最低限ここを確認します。
□ WordPress Coreは更新済み
□ Themeは更新済み
□ Pluginは更新済み
□ 強く固有のパスワード
□ 管理者は必要な人だけ
□ 共有アカウントを避けている
□ 2FAを検討した
□ Xserver側セキュリティを確認した
□ HTTPSで表示される
□ Theme / Pluginは正規入手
□ 不要Pluginを整理した
□ バックアップの存在を確認した
□ 問い合わせフォームをテストしたすべてのセキュリティ知識を理解してから公開する必要はありません。
まずは、基本的な穴を一つずつ塞ぎます。
今回のポイント
- セキュリティは一つのPluginや設定だけで完成しない
- WordPress Core・Theme・Pluginを更新する
- 強く固有のパスワードを使う
- 管理者権限は必要な人だけにする
- 重要アカウントでは2FAを検討する
- WordPressだけでなくXserver側のセキュリティも確認する
- HTTPS・バックアップ・問い合わせフォームも公開前に確認する
- 公開後の継続セキュリティは第42章で扱う
今回の視点
セキュリティで大切なのは、
「最強の設定を探すこと」
ではありません。
更新する。
パスワードを守る。
権限を絞る。
サーバー側の防御を使う。
バックアップを持つ。
こうした基本を重ねる方が重要です。
第31章では、公開前にその土台を作りました。
次の第32章では、問題が起きたときに戻れるよう、バックアップを詳しく確認します。
Part 5｜公開前の安全性と復旧準備