国内のWEBサイトの半分近くがWordPressで作られているといっても大袈裟でないほどに、業界スタンダードとして認知&浸透しています。ですが、これだけ広く浸透しているのにもかかわらず、きちんとしたセキュリティ対策をしているサイトは少なく、深刻な状況です。
ハッカーは依然WordPressサイトをターゲットにしているため、サイトの運営者はセキュリティの脆弱性について熟知し、予防策を講じることが不可欠です。
この記事では、WordPressのセキュリティに関する最も一般的な10の問題について説明し、それらを防止するための解決策を提供します。
WordPressウェブサイトのセキュリティの重要性
WordPressは、世界的に最も人気のあるCMSであり、全ウェブサイトの40％以上を支えています。オープンソースプロジェクトであるため、誰もがその開発に貢献することができます。世界中で数百万人がWordPressを使用しているため、ハッカーや悪意のあるユーザーの格好の標的となっています。
言い換えると、常にあなたのウェブサイトと、訪問者のデータの安全性が侵害されるリスクを抱えているのです。ハッカーがハッキングに成功した場合、サイトが乗っ取られたり、個人情報の流出につながる可能性があります。
日本人はこれを本当に不幸だけど、自分からは遠い出来事のように感じがちですが、実際にハッキングの被害はその規模を問わなければ日に1万件以上もあるのです。
もし、被害に遭った場合は、業務に支障をきたすだけにとどまらず、あなたがこれまで築いてきた信用やブランド力を地に落とすリスクを秘めています。
クレジットカードなどの個人情報が流出した場合、事業規模にもよりますが数千万円から億単位の損害賠償を被ることだってあります。何より信用的にも再起不能になりやすいので、マジで他人事だと思ってると危険なんです。
まずはセキュリティに穴がないか、定期的にチェックし対策を講じることが重要です。これだけでも攻撃の被害者になる可能性を最小限に抑えることができます。
まずは経営者、オーナーであるあなたがセキュリティを常に意識することで、サイトのパフォーマンスを最適化し、顧客の信頼とロイヤリティを維持することができます。
ここからは実際にどんなセキュリティリスクがあるのか？どうやって対処するのか？を端的に解説していきます。
1.パスワードがザコすぎる
弱い（=簡単に推測される）パスワードの使用は、WordPressサイトがハッキングされる最も一般的な理由の1つです。サイトのログイン情報を保護するために、強力なパスワードを使用することが非常に重要です。一般的なパスワードの使用は避け、記号＋数字＋大文字小文字、かつ12文字以上にするなどし、さらに定期的に更新するようにしましょう。
2.マルウェア
マルウェアは悪さをすることを目的に作られたソフトウェアの一種で、サイトに感染して大きな損害を与える可能性があります。マルウェアがサイトに侵入するのを防ぐには、WordPressとすべてのプラグインとテーマを定期的に更新する必要があります。さらに、マルウェアの有無をスキャンするセキュリティプラグインをインストールすることもできます。
3.クロスサイトスクリプティング(XSS)
専門用語ですみません。一言で言うと、クロスサイトスクリプティング（XSS）とは、悪意のあるコードをサイトに注入する攻撃のことです。ハッカーがあなたのサイトや訪問者のデータにアクセスすることを可能にすることができます。XSS攻撃を防ぐには、サイトの脆弱性をスキャンし、入力データをサニタイズ（ =サイバー攻撃につながるような文字を無効化すること）するセキュリティプラグインを使用することができます。
4.プラグインやテーマを全然更新してない
古いソフトウェア、プラグイン、テーマは、あなたのサイトを攻撃に対して脆弱にする可能性があります。安全性を確保し、WordPressの最新バージョンと互換性を持たせるために、これらを定期的にアップデートすることが不可欠です。プラグインを使用してアップデートを自動化することもできますが、アップデートの前に必ずサイトのバックアップを取るようにしましょう。
5.分散型サービス拒否（DDoS）攻撃
分散型サービス拒否（DDoS）攻撃とは、ハッカーがあなたのサイトにトラフィックを殺到させ、クラッシュさせることです。DDoS攻撃を防ぐには、不審なトラフィックをブロックできるファイアウォールを使用したり、トラフィックを複数のサーバーに分散できるコンテンツデリバリーネットワーク（CDN）を使用したりすることができます。
6.構造化クエリー言語（SQL）インジェクション
SQL（Structured Query Language）インジェクションとは、サイトのコード（サイトの中身）の脆弱性を突いて、データベースにアクセスする攻撃です。SQLインジェクションを防ぐには、サイトの脆弱性を解析し、入力データをサニタイズ（ =サイバー攻撃につながるような文字を無効化すること）することができるプラグインを使用する必要があります。
7.検索エンジン最適化(SEO)スパム
検索エンジン最適化（SEO）スパムは、ハッカーが検索エンジンのランキングを上げるために、あなたのサイトにリンクやキーワードを注入することです。SEOスパムを防ぐには、サイトに悪意のあるコンテンツがないかスキャンしたり、スパムコメントをブロックしたりできるプラグインを使用する必要があります。
8.HTTPS ではなく HTTP
これまた専門用語ごめんなさい。HTTPS（Hyper Text Transfer Protocol Secure）とは、インターネット上で安全に通信するためのプロトコル（=通信をするための決まり事）です。HTTPSでは、データを暗号化・復号化して、権限のないユーザーがアクセスできないようにします。
HTTPSを使用していないWordPressサイトは、ハッカーによってデータが傍受されたり、盗まれたり、操作されたりする危険にさらされています。これは、ユーザーデータの漏洩、機密情報の損失、機密情報の暴露につながる可能性があります。
ただウェブサイトにHTTPSを実装するのは簡単です。必要なのはSSL（Secure Sockets Layer）証明書だけで、サーバーとクライアントの間で送信されるデータを暗号化することができます。（これは自力でできます。）
9.フィッシング
フィッシングとは、サイバー攻撃の一種で、ハッカーがユーザーを騙して機密情報を提供させることです。名前だけはニュースで耳にしたことがあるという人も多いのではないでしょうか。
フィッシングは、電子メールやテキストメッセージ、あるいは合法的に見える偽のウェブサイトを通じて行われることがあります。
フィッシング攻撃は、個人情報の盗難や金銭的な損失など、深刻な事態につながる可能性があります。WordPressサイトは、名前、電子メールアドレス、パスワードなどの機密情報をユーザーから収集するため、フィッシング攻撃の標的になることがよくあります。
フィッシング攻撃を防ぐには、強力なパスワードの使用、二段階認証の有効化（パスワードでログインしたと、スマホアプリでさらに認証など）、フィッシング詐欺の見分け方と回避方法に関するユーザー教育が不可欠です。
10.ポンコツなホスティング
ホスティングプロバイダー（メールサービスやウェブサービスをお預かりし、運用するサービス）が安全でない場合、あなたのサイトはこれまで挙げてきた、セキュリティ侵害、マルウェア感染、その他のセキュリティ問題の影響を受けやすくなる可能性があります。
低品質のホスティングプロバイダーは、古いソフトウェア、貧弱なサーバー設定、弱いセキュリティプロトコルを備えていることがよくあります。また、カスタマーサポートが充実していない場合もあり、セキュリティ上の問題を迅速に解決することが困難な場合があります。
低品質のホスティングに起因するWordPressのセキュリティ問題を回避するには、セキュリティと信頼性に定評のあるホスティングプロバイダを選択することが重要です。定期的なバックアップ、サーバー監視、その他のセキュリティ機能を提供するプロバイダーを探しましょう。
以上があるあるなセキュリティの問題とその解決方法です。
今見返したら専門用語の比率が多いですね、、また時間を作って極力専門用語を使わずわかりやすくリライトしていきます。
何か質問があればご連絡ください。最後まで読んでくださってありがとうございました。
