ホームページを動かしているWordPressというソフトについて、「新しい弱点が見つかりました」というお知らせが、ときどき届きます。ただ、そこには自分のサイトで何をすればいいのかまでは書いてありません。社内にくわしい担当がいない会社ほど、気にはなりつつ後回しになりがちです。
効きめの大きいものから、ひとつずつ手を打っていけば十分です。どれも、サイトの見た目や使い勝手は変えずに、入口まわりだけを安全にする手当てです。
1. 本体とプラグインを最新に保つ
いちばん効く土台がこれです。サイトをねらう攻撃の多くは、すでに直っている古い穴から入ってきます。本体と、あとから機能を足すプラグインを新しく保つだけで、その穴はふさがります。新しくしたときに表示が崩れないかは、先に確かめておくと安心です。
2. 戻せる備えを、サーバーの機能でつくる
どれだけ気をつけても、万一をゼロにはできません。だからこそ、いざというときに元の状態へ戻せる備え、つまりバックアップが効きます。多くのレンタルサーバーには、この自動バックアップがはじめから備わっています。新しい道具を足すより、いま契約しているサーバーの機能を活かすほうが、かえって安全で確実なことも少なくありません。まずは、お使いのサーバーに何が備わっているかを見てみてください。
3. ログインの入口を目立たなくする
WordPressの管理画面に入るためのアドレスは、はじめの設定のままだと外からも見当がつくものになっています。ここを、自分たちには分かりやすく、外からは見つけにくいアドレスに変えます。表示や使い勝手は変わらないまま、何度もログインを試される的になりにくくなります。
4. 管理者の名前を、推測されにくいものに変える
管理者の名前が、はじめのままの「admin」になっていることがあります。よく知られた名前ほど、外からねらわれやすいものです。自分たちで決めた別の名前に変えるだけで、入口の守りが一段強くなります。
5. 使っていない道具を片づける
作っているときに使った確認用の道具や、いつのまにか使わなくなったプラグインが、動いたまま残っていることがあります。使っていない道具は、そのぶん穴になりかねません。使わないものは止めて、消しておきます。身のまわりを片づけるのと同じです。
6. 本番の前に、テスト用の場所で試す
安全のための変更でも、いきなり本番のサイトをさわるのは避けます。まずテスト用の場所で確かめ、問題があればすぐ元へ戻せるようにしてから、本番に反映します。この順番を守るだけで、直したつもりが壊れていた、という失敗を防げます。
続けることが、いちばんの守り
ここまでの手当ては、一度やって終わりではありません。新しい弱点は次々と見つかり、そのたびに更新や見直しが要ります。はじめから安全を組み込み、止まりにくく、すぐ直せる状態を保ちつづける。これがサイトを安全に保つ、いちばん確かなやり方です。
とはいえ、この見守りを本業のかたわらで続けるのは、なかなか大変です。ホームページおまかせ運用では、更新と見直しをわたしたちが代わりに続けます。日ごろの運用の考え方は、ホームページにもかかりつけを持つ話にまとめています。
気にはなりつつ後回しになっているなら、お問い合わせから気軽にご相談ください。いまのサイトを見せていただくところから、いっしょに考えられます。