ホームページの「セキュリティ対策」って、結局なにをすればいい？4つの入口と、守り方の全体像

「ホームページのセキュリティ対策をしてください」と言われても、何をすればいいのか、ぴんとこない方が多いと思います。

専門用語も多く、どこまでやれば十分なのかも分かりにくいものです。

この記事では、ホームページが狙われる「入口」ごとに、守り方をまとめました。

全体像が分かると、自社に足りないところが見えてきます。

■ホームページが狙われる4つの入口

1. ログインの入口

管理画面のパスワードを当てられて、乗っ取られます。

簡単なパスワードや、使い回しのパスワードが狙われます。

2. ソフトの弱点

WordPress本体やプラグイン、テーマの古い版に残った弱点から入り込まれます。

いちばん多い入口です。

3. フォームなど、外から入力できる場所

お問い合わせフォームなどに、不正な命令を書き込まれることがあります。

4. サーバーそのもの

サーバーの設定が甘い、FTPのパスワードが簡単、といったところから入られます。

■入口ごとの守り方

・ログインの入口

長く、使い回さないパスワードにする。2段階認証を設定する。管理者のアカウントを必要な人だけにする。

・ソフトの弱点

本体・プラグイン・テーマを最新に保つ。使っていないものは消す。出どころの分からないプラグインは入れない。

・入力できる場所

フォームのプラグインを最新にし、迷惑な送信を止める仕組みを入れる。

・サーバー

サーバーの防御機能（WAF）を有効にする。FTPのパスワードを変え、使わないときは閉じておく。

■「守り」と同じくらい大切なこと

どれだけ守っても、狙われる可能性をゼロにはできません。

だからこそ、次の2つも合わせて用意しておきます。

・気づく仕組み：改ざんや停止に早く気づけるよう、見張っておく

・戻せる仕組み：バックアップを何世代か、サーバーとは別の場所にも残しておく

守る、気づく、戻す。

この3つがそろって、はじめて「対策している」と言える状態になります。

■まず今日できること

・管理画面のパスワードを、長いものに変える

・管理者のアカウントを見直し、辞めた人のものを消す

・使っていないプラグインを消す

■対策をまとめて任せたい方へ

狙われやすい入口を点検し、ログインの守り、更新、防御機能の設定などの対策を行って、何をしたかをご報告します。

WordPressの乗っ取りを防ぐ対策をします

https://coconala.com/services/4456347

すでに改ざんや乗っ取りの被害にあっている場合は、こちらで復旧します。

乗っ取り・改ざんのWordPressを復旧します

https://coconala.com/services/4455914