WordPressの脆弱性診断・セキュリティチェック｜無料ツールで分かること・分からないこと

この記事のポイント

• セキュリティチェックは3種類ある
• 外から見る無料ツールではファイル内は見えない
• ファイル照合には前月の控えが必要になる
• 弊社は毎月の保守で前月と当月を照合する

記事の概要

WordPressで会社のサイトを運用し、セキュリティに不安を感じている担当者・決裁者向けの記事です。

本記事は一般的な情報と株式会社iTechの実務経験をまとめたものであり、個別サイトの安全性を保証するものではありません。

この記事の結論管理画面、外から見るツール、ファイル確認では見える範囲が異なります。外から見る無料ツールの結果は、ファイル内の安全まで示すものではありません。ファイルの変化を調べるには、比較元となる前月のファイルが必要です。弊社は毎月の保守で、前月と当月のファイルを照合しています。

1. WordPressのセキュリティチェックは3種類

WordPressの状態を広く把握するには、見える範囲が異なる3種類のチェックを使い分けます。

セキュリティチェックは、管理画面の中から見る方法、サイトを外から見る方法、サーバーにあるファイルの中まで見る方法に分けられます。

FTPはサーバーとのファイル転送に使います。WordPress公式は、サーバーが対応している場合、暗号化されたSFTPを使うよう案内しています。WordPress公式「Hardening WordPress」

ファイルの中まで見る方法が意味を持つのは、攻撃の痕跡がログかファイルに残るためです。WordPress公式は、攻撃がログまたはファイルに痕跡を残し、ファイルでは新しいファイルや変更されたファイルとして現れると説明しています。WordPress公式「Hardening WordPress」

3種類のどれか一つですべてを見るのではなく、目的に応じて確認範囲を広げることが重要です。

2. サイトヘルスの「ステータス」を読む

最初の確認には、WordPressの管理画面にあるサイトヘルスを使えます。

サイトヘルスは、管理画面の「ツール」から「サイトヘルス」を開くと表示されます。画面には「ステータス」と「情報」の2つのタブがあります。

「ステータス」の表示は、次の3区分です。

• 致命的な問題
• おすすめの改善
• 問題のない項目

WordPress公式は、致命的な問題の例として、古いPHP、更新待ちのプラグイン、エラーを訪問者に表示する設定、バックグラウンド更新が動いていない状態を挙げています。WordPress公式「サイトヘルス画面」

PHPなどの推奨環境は、数値を決めつけず、WordPress公式の必須要件ページで確かめます。

「情報」タブは閲覧専用であり、この画面から設定を変えるものではありません。表示される項目の区分と各タブの役割は、WordPress日本語公式のサイトヘルス画面で確認できます。

WordPress本体やプラグインのバージョンを確かめ、注意喚起に該当するか判断する方法は、姉妹記事にまとめています。

WordPressの脆弱性とは？自社サイトが該当するか確認する方法

3. 外から見る無料ツールと、その限界

WPScanとSucuri SiteCheckは外部からの確認に使えますが、サーバーのファイル全体を見るものではありません。

株式会社iTechでは、「サイトを見てほしい」とご相談を受けた際、まずWPScanを使います。ただし、WPScanは外から見るツールなので、ファイルの中までは見ません。ファイルの中の見方は第4節で紹介します。

WPScanは、WordPressのバージョンやテーマを検出し、設定に応じてプラグイン、テーマ、ユーザー、バックアップフォルダなどを調べます。脆弱性データを使うにはAPIトークンが必要で、無料プランで使えるのは1日25リクエストまでです。WordPress本体に1、プラグインごとに1、テーマに1リクエストを使います。

利用条件と検出対象は、WPScan公式ページに記載されています。使う対象は自社のサイト、または依頼を受けたサイトに限ります。

Sucuri SiteCheckは、URLを入力してサイトを外から調べるツールです。ただし、確認するのはブラウザから見える範囲であり、サーバー上のバックドアなど、サーバー側のマルウェアは検出しないと公式に明記されています。Sucuri SiteCheck公式ページ

そのため、外から見るツールで「問題なし」と表示されても、サーバーのファイル内まで問題がないという意味にはなりません。外から見える情報と、ファイルを直接見て分かる情報は分けて考えます。

4. 弊社はファイルの中をこう見る

株式会社iTechでは、実際の表示を確認した後、サーバーにあるファイルの中を見ます。

弊社が見る順番は、次のとおりです。

1. 実際のサイトを見て、変化がないか確認する
2. FTPでサーバーにあるファイルの中を見る

弊社は毎月の保守の作業として、前月のファイルと当月のファイルを照合しています。差が見つかった場合は、WordPress本体やプラグインの更新による変更を考慮して判断します。今後は、AIなども活用して、この照合をより細かくできる仕組みを作っていきます。

追加・変更されたファイルを特定するには、当月のファイルと比べる元となる前月のファイルが手元に必要です。

5. チェックを一度で終わらせない

弊社は、チェックを一度で終わらせず、毎月の保守の中で前月と当月のファイルを比べ続けています。

弊社のWordPress保守では、この照合に加えて、本体・プラグインのアップデート、定期的なバックアップ、PHPバージョン・サーバー環境の確認、表示・動作確認、不具合時の原因調査・復旧、軽微な作業を行います。

保守の作業内容や費用については、姉妹記事をご覧ください。

WordPressの保守とは？費用相場と頼まなかったときにかかるお金

さらに弊社は、WordPressにもCI/CDを取り入れた方がよいと考えています。開発から運用までのプロセスを整理でき、変更履歴を見て判断できるためです。

WordPressで導入しているところは少ないというのが弊社の実感です。

サイトが狙われる理由や、最低限行うセキュリティ対策は、次の記事に分けています。

WordPressのセキュリティ対策｜最低限と継続の判断基準

6. WordPressのセキュリティチェックに関する質問

無料ツールの結果だけで判断せず、各方法が見ている範囲を基準に考えます。

無料ツールで「問題なし」なら安全ですか

「問題なし」という結果は、そのツールが確認した範囲で問題が検出されなかったことを示します。WPScanが検出するのはWordPressのバージョンやテーマ、設定に応じて調べるプラグインなどです。WPScan公式ページ

Sucuri SiteCheckはブラウザから見える範囲だけを確認し、サーバー上のバックドアなどは検出しないと説明しています。そのため、外から見るツールの結果だけで、ファイルの中まで安全だとは判断できません。Sucuri SiteCheck公式ページ

自分でWPScanを使えますか

使えます。ただし、脆弱性データを使うにはAPIトークンの登録が要り、無料プランは1日25リクエストまでです。WordPress本体に1、プラグインごとに1、テーマに1リクエストを使います。使用するのは自社のサイト、または依頼を受けたサイトだけに限ります。

問題が見つかったら、どうすればいいですか

確かめ方と、該当したときにやることは次の記事にまとめています。

WordPressの脆弱性とは？自社サイトが該当するか確認する方法

どのくらいの頻度でチェックすればいいですか

弊社は保守の中で、毎月、前月と当月のファイルを照合しています。サイトヘルスは管理画面からいつでも開けます。

7. 株式会社iTechの無料診断

株式会社iTechの無料診断では、不要なファイルとWordPressの更新状況を確認します。

無料診断で主に見る内容は、次の2つです。

1. 不要なファイルがないか
2. WordPressの更新状況

初めて見るサイトでは、制作時のファイルが分からないため、前月との差ではなく、不要なファイルと更新状況を中心に確認します。前月との照合は、毎月の保守の中で行う作業です。

お申し込みの際は、WordPressのログイン情報とFTPの情報を必ずご用意ください。サイトの状況に応じて、ほかの情報もご提供いただきます。

診断結果は確認時点と確認範囲に基づくものであり、将来を含むサイトの安全性を保証するものではありません。

執筆者

株式会社iTech愛知県豊田市の、Web制作とSEOを得意とするWebマーケティング会社です。ホームページやLPの制作から、公開後の保守・運用、SEO・SNSなどの集客支援まで、伴走型で中小企業のサイトをお手伝いしています。