WordPressの管理画面だけでできる、5分のセキュリティ点検｜10項目と、見つかったときの直し方

「セキュリティ対策をしてください」と言われても、何を見ればよいのか分からない。

そんな方に向けて、WordPressの管理画面を開くだけで確かめられる10項目をまとめました。

サーバーの設定や専門の道具は使いません。

1つ確かめるのに30秒ほどなので、全部でも5分くらいです。

「いいえ」が付いた項目だけ、下の「見つかったときの直し方」を見てください。

■5分でできる10項目

1. ダッシュボードに「更新があります」の表示が出ていない

2. 使っていないプラグインが、停止したまま残っていない

3. 使っていないテーマが、2つ以上残っていない

4. 「ユーザー」の一覧に、知らない人や辞めた人がいない

5. 管理者の権限を持つ人が、必要な人数だけになっている

6. 管理者のユーザー名が「admin」になっていない

7. 「サイトヘルス」に、セキュリティの「改善が必要」が出ていない

8. サイトのアドレスが「https」で始まっている

9. 最近、自分が作った覚えのないページや投稿がない

10. バックアップが、いつ取れたかを言える

■見つかったときの直し方

1・2・3：更新と整理

更新は、バックアップを取ってから行います。

使っていないプラグインとテーマは、停止しただけでは中身がサーバーに残っています。

使わないと決めたものは、削除まで進めます（テーマは、使っているものと、予備に1つあれば十分です）。

4・5・6：ユーザーの整理

知らないユーザーがいたら、すぐに消す前に、いつ作られたかを控えておきます。

覚えがない管理者がいる場合は、乗っ取られている心配があるので、次の「すぐ相談したほうがよいサイン」を見てください。

辞めた人のアカウントは削除し、残った人のパスワードを変えます。

7・8：サイトヘルスとhttps

サイトヘルスの「改善が必要」は、上から順に読めば、何が足りないかが書かれています。

「https」になっていない場合は、サーバーの管理画面で無料のSSLが使えることが多いです。

9・10：見覚えのない変化とバックアップ

バックアップがいつ取れたか分からない場合は、まず今日の分を1つ取っておきましょう。

■すぐ相談したほうがよいサイン

次のどれかに当てはまるときは、点検より先に、乗っ取りや改ざんを疑ってください。

・作った覚えのない管理者ユーザーがいる

・見覚えのない投稿やページが大量にある

・サイトを開くと、別のサイトに飛ばされる

・管理画面にログインできなくなった

このときは、パスワードを変える前に、今の状態を画面の写真で残しておくと、原因を調べるときに役立ちます。

■月に1回、この10項目を

セキュリティは、一度やれば終わりではありません。

月初めなど日を決めて、この10項目を見る習慣をつけるだけでも、気づくのが早くなります。

■自分で確かめるチェックリスト

・10項目を、上から順に確かめた

・「いいえ」の項目を書き出した

・更新の前に、バックアップを取った

・使わないプラグインとテーマを削除した

・ユーザーを整理し、パスワードを変えた

・次に点検する日を決めた

■よくある質問

Q. セキュリティのプラグインを入れておけば、この点検はいりませんか？

A. プラグインは役に立ちますが、ユーザーの整理や使わないプラグインの削除までは、人が決める必要があります。点検は続けましょう。

Q. 停止しているプラグインも危ないのですか？

A. 停止していても、ファイルはサーバーに残っています。弱点のある古いファイルが狙われることがあるので、使わないものは削除しましょう。

Q. 「admin」というユーザー名は、変えたほうがいいですか？

A. 狙われやすい名前なので、別の名前の管理者を作り、記事の持ち主を移してから、元のユーザーを削除する方法がおすすめです。

Q. 全部「はい」でした。これで安全ですか？

A. 管理画面から見える範囲では、よい状態です。ただ、PHPなどサーバー側の状態や、外から見た弱点までは分かりません。気になる方は、外からの診断も組み合わせてください。

Q. 点検はどのくらいの頻度ですればいいですか？

A. 月に1回が目安です。大きな脆弱性のニュースが出たときは、その日のうちに見ておくと安心です。

■外からの診断もしたい方へ

ご自分で点検できる方は、この10項目で十分です。

「管理画面の外から見て弱点がないか知りたい」という方には、サイトのURLだけで脆弱性を診断し、レポートでお伝えしています。

PHP・WordPressの脆弱性を診断します

https://coconala.com/services/4463764

乗っ取りを防ぐ対策をまとめて任せたい方は、こちらです。

WordPressの乗っ取りを防ぐ対策をします

https://coconala.com/services/4456347