もっともっと、もっと先へ。株式会社アットワークMore and more,
further and further.

最近の情報漏洩の報道を見ていると、いかにサイト・サーバーのセキュリテイが重要か思い知らされます。
「うちのホームページは公開情報しか載せてないから大丈夫」「社外秘情報や個人情報はサーバーに残してないから大丈夫」
など、うちの会社には関係ないと思っておられる経営者の方も多いと思います。

でも、もし、お問い合わせフォームで入力された個人情報がサーバー（データベース）に残っていたら…
もし、社員がクラウド代わりに、レンタルサーバーにFTPで社外秘の情報をアップしていたら…

特に、WordPressで実装・構築されたサイトは注意が必要です。WordPressは世界中で利用されているCMSである一方、利用者が多いからこそ、不正ログインや脆弱性を狙った攻撃の対象になることもあります。
特に、企業サイトや店舗サイトなど、長期間にわたって運営するWebサイトでは、万が一のトラブルに備えて、日頃からセキュリティ対策をしておくことが重要になります。

特に、WordPress 3.7 以前の自動更新がされないバージョンは注意が必要です。

この記事では、一般的なレンタルサーバーでWordPress実装のサイトを運用する場合に実施しておきたいセキュリティ対策を紹介します。
また、弊社では無料のサイト診断を行っています。御社ホームページのセキュリティの問題点をお調べします。

まずは「攻撃されにくい環境」を作りましょう

WordPressのセキュリティ対策というと、「セキュリティプラグインを入れれば安心」と考えてしまうかもしれません。しかし、セキュリティプラグインを導入するだけでは十分ではありません。特に重要なのは、

• 攻撃される入口を減らす
• WordPressを常に最新の状態にする
• 管理画面への不正アクセスを防ぐ
• 重要なファイルを保護する
• 万が一の侵入に備えてバックアップを取る

という複数の対策を組み合わせることです。それでは、具体的に考察していきましょう。

WordPress本体・プラグイン・テーマを最新にする

最も基本的で重要な対策が、WordPressのコアファイル、プラグイン、テーマを最新の状態に保つことです。WordPressやプラグインには、場合によってはセキュリティ上の問題が発見されることがあります。脆弱性が修正されたアップデートが公開されているにもかかわらず、古いバージョンを使い続けていると、攻撃の対象になる可能性があります。特に、WordPress 3.7 以前の自動更新がされないバージョンは注意が必要です。

そのため、定期的に以下を確認しましょう。

• WordPressコアファイル
• 使用しているプラグイン
• 使用しているテーマ

特に注意したいのが、現在使用していないプラグインやテーマです。「停止しているから大丈夫」と考えず、不要なものは削除することをおすすめします。使っていないプラグインを残しておくことは、不要な攻撃対象を残すことにもつながります。

WordPressの管理者アカウントを強化する

WordPressでは、管理画面への不正ログインにも注意が必要です。管理者アカウントには、推測されにくい強固なパスワードを設定しましょう。また、ユーザー名についても、adminのような推測されやすい名前は避けることをおすすめします。

さらに有効なのが2段階認証（2FA）です。2段階認証を設定すると、パスワードだけではログインできないようにできるため、万が一パスワードが漏洩した場合のリスクを低減できます。可能であれば、

• 強固なパスワード
• 2段階認証
• ログイン試行回数の制限

を組み合わせる事が必要です。

セキュリティプラグインを導入する

WordPressには、セキュリティ対策を支援するプラグインが多数あります。例えば、

• Wordfence
• Solid Security
• All-In-One Security

などがあります。こうしたプラグインには、不正ログイン対策やファイアウォール、マルウェアスキャンなど、さまざまな機能が搭載されています。必要な機能を確認したうえで、信頼できるセキュリティプラグインを1つ選んで導入するのがよいでしょう。

HTTPSを利用する

Webサイトは、HTTPSで公開するようにしましょう。HTTPSを利用すると、ユーザーとWebサイト間の通信を暗号化できます。最近のレンタルサーバーでは、無料SSLを利用できるサービスも多くあります。必要なら古いレンタルサーバーから新しい、セキュリティに厳格で、HTTPSが無料で利用できるサーバーに乗り換えることもお考えください。

wp-config.phpを保護する

WordPressには、wp-config.phpという重要な設定ファイルがあります。このファイルには、データベースへの接続情報など、WordPressの動作に必要な重要な情報が含まれています。通常の環境ではWebから直接アクセスできないようになっていますが、サーバーの設定によっては、さらにアクセス制限を設定することもできます。最近のレンタールサーバーはWordPressのコアファイルへのアクセスを厳密に制御する機能があります。そのようなサーバーにサーバーに乗り換えることもお考えください。

XML-RPCの必要性を確認する

WordPressには、xmlrpc.phpという機能があります。外部サービスとの連携などに利用されることがありますが、サイトによっては使用していない場合もあります。もしXML-RPCを利用する必要がないのであれば、無効化を検討してもよいでしょう。XML-RPCについても最近のレンタルサーバーはアクセスを厳密に制御する機能がついています。最新のにサーバーに乗り換えることもお考えください。

レンタルサーバーのWAFを確認する

レンタルサーバーによっては、WAF（Web Application Firewall）を利用できる場合があります。WAFは、Webアプリケーションへの不正なリクエストを検知・遮断するための仕組みです。WordPressだけでなく、Webサイト全体の防御にも関係するため、レンタルサーバーにWAF機能が用意されている場合は、設定内容を確認してみましょう。

バックアップを必ず用意する

セキュリティ対策をしっかり行っていても、Webサイトへの攻撃を100％防げるわけではありません。そのため、セキュリティ対策と同じくらい重要なのがバックアップです。
WordPressのコアファイル、データベース、テーマファイル、アップロードした画像などのメディアなどは定期的にバックアップしておきます。できればバックアップをサーバー内だけに保存するのではなく、サーバーとは別の場所にも保存することをおすすめします。万が一サイトが改ざんされた場合でも、正常な状態に戻せるようにしておくことが重要です。

不要な機能を公開しない

WordPressのセキュリティでは、「使わない機能を残さない」という考え方も重要です。
使用していないプラグイン、使用していないテーマ、不要なユーザーアカウント、不要な外部連携などを定期的に見直しますことが必要です。

まとめ

レンタルサーバーでWordPressを安全に運営するためには、1つの対策だけに頼るのではなく、複数の対策を組み合わせることが重要です。まずは、次の項目から確認してください。

• WordPress本体を最新にする
• プラグイン・テーマを最新にする
• 不要なプラグイン・テーマを削除する
• 管理者アカウントを強化する
• 2段階認証を設定する
• ログイン試行回数を制限する
• セキュリティプラグインを適切に利用する
• HTTPSを利用する
• wp-config.php を保護する
• ファイル編集機能を無効化する
• XML-RPCの必要性を確認する
• レンタルサーバーのWAFを確認する
• 定期的にバックアップする

特に重要なのは、「最新の状態を保つ」「不要なものを削除する」「管理画面を守る」「バックアップを取る」という4つです。セキュリティ対策は、一度設定したら終わりではありません。WordPressやプラグインのアップデート、ユーザーアカウントの整理、バックアップの確認などを定期的に行い、継続的に安全な状態を維持することが大切です。

弊社では無料のサイト診断を行っています。御社ホームページのセキュリティの問題点をお調べします。