【WordPressは怖い？】あなたのWEBサイトがある日突然消えたら…？【備えあれば憂いなし】
[Is WordPress Scary?] What If Your Website Suddenly Disappeared One Day...? [Preparation Prevents Worry]
株式会社アシッドハウスの芦田 哲也です。
今回の記事ではこういった疑問にお答えしていきます。
WordPressは常に脆弱性と隣合わせ
ある調査によると、全世界の25%のWEBサイトにWordPressが採用されているようです。
何でもそうですが、利用者のボリュームがそれなりにある場合は常に脆弱性と隣合わせになります。WordPressも例外ではないということですね。
しかし、WordPressには、
- 圧倒的にサイトの更新を容易にする
- 豊富なプラグインによる拡張性
- SEOの優位性（Googleのお墨付き）
という点があるので、脆弱性とトレードオフというのも事実です。
「SEOの優位性（Googleのお墨付き）」と一応書きましたが、今は微妙かもです。
これは今はGoogleを退職したマット・カッツ（Matt Cutts）の「WordCamp San Francisco 2009」での発表が基になってよく言われていることですが、かなり古い情報なのです。それに、今WordPressを使うこと自体が大きなSEOのアドバンテージになるとも言えない気がします。
とは言えWordPressのWEBサイトでの成功事例はやはり多いので、書きました。
WordPressで構築したサイトを守るためには？
- PASSは複雑なものにする
- アップデートは即行なう
- プラグインを最適化する
- バックアップを定期的に取る
上記が最低限抑えるところです。
一つずつ解説していきます。
「構成ファイルの権限設定を最適化する」「海外からのアクセスを遮断」「XMLRPC防御」「ドメイン更新忘れ防止」など対策を講じるところは他にもありますが、そちらは別の機会にしたいと思います。
PASSは複雑なものにする
これは別にWordPressに限った話ではないですが、ハッカーはあらゆる単純なパスワードを片っ端から使ってログインを試みます。「片っ端から試す」のはハッカーがツールで自動化しているので一瞬です。
必ずパスワードは「12c.Kmc_,((u6#(e」みたいな、英数字記号をランダムに織り交ぜた複雑なものを生成して利用するようにして下さい。そして、定期的に変更するのが望ましいことは、言うまでもありません。
ただ、こういった複雑なPASSで運用しようとすると、以下のようなことが弊害が起こることがあります。
- そもそも覚えられない
- 紙に書いたら判別ができなくなった
- 打ち込むのに時間がかかる
この問題を解決するのがPASS管理ツールでして、中でも1Passwordというツールがおすすめです。
毎月のランニングコストはかかりますが、覚えればいいPASSは1つだけで（もちろん簡単に推測されるようなものではダメですよ）、1Passwordに保存されたログインIDとPASSを引き出して使うという感じです。
リアルで例えると、鍵や実印など複数保管する金庫のような感じでしょうか。
なお複雑なPASSは自分で考える必要はなく、1Passwordのほうで生成してくれるので、それを使えばOKです。
PASSを使いまわしたり、コンピュータ上Wordファイルに書き込むなど、誰でもアクセスできる形で管理するのは避けましょう。各部屋全部同じ鍵をつかったり、実印を誰でも手に取れる状態にしているのと変わりません。
なお、GoogleのPASSはあらゆるサービスと連動していることが多いので、絶対に漏らさないようにして下さい。
アップデートは即行なう
これもWordPressに限った話ではないですね。
アップデートの対象はWordPressそのものとプラグインになります。
念のために注意したほうがいいこととしては、アップデートはセキュリティ上のリスクを下げるメリットがありますが、たまにアップデートしたことによって使い勝手が落ちたり、「これまで使えていたものが使えなくなった」というようなことが起こることもあります。
アップデートと並行しての不具合がないかググるなどして、情報をキャッチアップすることが大事です。
WordPress 4.9.8からWordPress 5.0にバージョンアップされた時は、エディタが大幅に変更になりました。ただ、Classic Editorというプラグインが提供されたため、これまでのユーザーは大きな負担はありませんでした。また、新しいエディタの安定性も特に問題なさそうです。
プラグインを最適化する
「最適化」と書きましたが、さらに以下に分かれます。
- 必要以上にプラグインを使わない
- 利用実績の少ないプラグインを使わない
- アップデートが長期間されていないプラグインを使わない
必要以上にプラグインを使わない
プラグイン数が多いとハッカーから狙われる間口が増えますし、WEBサイト自体が重くなるので最小化しましょう。
「では何個が良いのか？」というと諸説ありますが、私は10個以下と考えています。
※それぞれのプラグインの機能はご興味ある方はググってみてください。
上記プラグインそれぞれがすべてのユーザーに最適というわけではありませんが、「セキュリティ」「利便性」「グロース」という観点でこんなプラグインセットがいいかなと思います。
※ご利用される場合は、プラグインの内容をしっかりとご確認の上ご利用下さい。
利用実績の少ないプラグインを使わない
やはりアップデートは利用実績とフィードバックがあってこそなので、利用実績の少ないプラグインを使うのはやめましょう。
なお利用実績の多さの見極めですが、プラグインの評価がそれなりにあり、プラグイン名でググった時に一般ユーザーがブログで使い方を解説している程度という認識でOKです。
結局はみんなが使っている定番どころを使うのが一番ということですね。
アップデートが長期間されていないプラグインを使わない
アップデートが長期間されていないと、セキュリティホールが出来ている可能性が高まるので、ハッカーに狙われやすくなります。
ちなみに、このサイトでもプラグインセットの見直し中でして、Table of Contents Plusというのを使ってきましたが、長期間アップデートされていないのとヒートマップを見るにユーザーは大して目次を使っていなさそうなので、外そうかなと思っています。
なお、先ほど挙げたプラグインのWordfence Securityは長期間アップデートされていないプラグインがあるとアラートを出してくれるので、そういった意味でも便利です。
バックアップを定期的に取る
ここまで挙げてきた方法でカバーできないこともありますし、万全な対策を施していたのにもかかわらず、ハッカーに狙われ消えたということは十二分に起こりえます。
何事も100%安全ということはないのです。
そんな時に大事なのは、復旧の早さでしょう。そのためには、定期的かつスパン短めのバックアップを組み込んでおくことが大事です。
バックアップはBackWPupのようなプラグインを使う方法と、レンタルサーバーのコントロールパネルで設定する方法があります。
私は、mixhost
を使っているのですがレンタルサーバー側で用意されているSoftaculousというアプリケーションで自動バックアップしております。
以前別サイトが一度消失したことがあったのですが、サーバエンジニアでない私でも比較的短時間で復旧させることができました。
どちらの方法がオススメかと言えば、やはりプラグインはWEBサイトの負荷になるので、レンタルサーバーでバックアップする機能が用意されているのであれば、そちらを使ったほうが良いかと思います。
※レンタルサーバーについては以下も併せてご参照下さい。
もっと簡単で確実な方法は？
以上が、ざっくりとですがあなたのWEBサイトを守る方法になります。
しかし、
という方も多いでしょう。
そんな方にご提案したい方法があります。
- WordPressの初期設定と運用保守を外注する
- note proやwixなどの次世代オウンドメディア構築プラットフォームを使う
平たく言うと、プロに任せてしまおうということですね。
前者は月5万円ぐらいかかりますが、更新忘れによるWEBサイトの消失を招くドメインの管理などもセットでお願いできますので、お金を払い続けるだけで自分たちだけで運用するよりも安全性はぐっと上がります。
後者はnote proやwixの提供元がサーバー管理していますので、脆弱性の対策に関して自社で何もやる必要はありません。仮にトラブルがあったとしても、迅速かつ的確な対応が見込めます。
※note proについては、以下の記事も参照下さい。
WordPressの初期設定・運用保守やります
私の方でも請け負うことが出来ますので、ご興味のある方は以下からお問い合わせいただければ幸いです
内容によりますが、概算としては初期設定10万円・月額5万円になります。
From ACIDHOUSE, INC., this is Tetsuya Ashida.
This article answers these questions.
WordPress Always Lives Alongside Vulnerabilities
According to one survey, WordPress is used by 25% of websites worldwide.
As with anything, a reasonably large user base means always living alongside vulnerabilities. WordPress is no exception.
But WordPress offers:
- Much easier website updates
- Extensibility through abundant plugins
- An SEO advantage (endorsed by Google)
So it is also true that these benefits are a trade-off against vulnerabilities.
I did write “an SEO advantage (endorsed by Google),” but that may be questionable now.
This claim is usually based on a presentation by Matt Cutts (who has since left Google) at WordCamp San Francisco 2009, but the information is very old. Also, I don't feel that merely using WordPress now necessarily provides a major SEO advantage.
Still, there are many success stories involving WordPress websites, so I included it.
How Do You Protect a Website Built with WordPress?
- Use complex passwords.
- Update immediately.
- Optimize plugins.
- Make regular backups.
These are the minimum points to cover.
I'll explain them one by one.
“Optimize configuration-file permissions,” “block access from overseas,” “protect XMLRPC” and “prevent forgetting domain renewal” are among other measures, but I'll cover them another time.
Use Complex Passwords
This isn't limited to WordPress, but hackers try every simple password they can to log in. They automate trying them all with tools, so it happens in an instant.
Always generate and use a complex password with a random mixture of letters, numbers and symbols, like “12c.Kmc_,((u6#(e”. Needless to say, changing it regularly is desirable.
However, operating with complex passwords can cause problems such as:
- You can't remember them in the first place.
- You wrote them on paper but can't tell the characters apart.
- Typing them takes time.
Password management tools solve these problems, and among them I recommend 1Password.
▶The most secure password manager | 1Password
It has a monthly running cost, but you only need to remember one password (of course, it mustn't be easily guessed), and retrieve the saved login IDs and passwords from 1Password to use them.
In real-world terms, it's like a safe containing several keys and registered personal seals.
Also, you don't need to think up complex passwords yourself; 1Password generates them, so you can use those.
Avoid reusing passwords or storing them in a form anyone can access, such as writing them in a Word file on your computer. That's no different from using the same key for every room or leaving your registered seal where anyone can pick it up.
Also, your Google password often connects to all sorts of services, so never let it leak.
Update Immediately
This isn't limited to WordPress either.
Updates apply to WordPress itself and its plugins.
One precaution: updates have the benefit of reducing security risks, but occasionally they reduce usability or cause something that worked before to stop working.
It's important to stay informed, for example by Googling whether an update has introduced problems.
When WordPress moved from 4.9.8 to 5.0, the editor changed substantially. However, the Classic Editor plugin was provided, so existing users didn't face a major burden. The new editor's stability also seems fine.
Optimize Plugins
I wrote “optimize,” but this breaks down further into:
- Don't use more plugins than necessary.
- Don't use plugins with little usage history.
- Don't use plugins that haven't been updated for a long time.
Don't Use More Plugins Than Necessary
More plugins give hackers more openings and make the website heavier, so minimize them.
There are various views on “How many is best?”, but I think 10 or fewer.
*If you're interested in each plugin's functions, try Googling them.
Not every plugin above is ideal for every user, but from the perspectives of “security,” “convenience” and “growth,” I think this is a good plugin set.
*If you use them, check the plugins' contents thoroughly first.
Don't Use Plugins with Little Usage History
After all, updates depend on usage history and feedback, so avoid plugins with little usage history.
As for judging how widely used they are, it's enough to look for a reasonable number of ratings and general users explaining how to use them on blogs when you Google the plugin name.
Ultimately, using the established standards everyone uses is best.
Don't Use Plugins That Haven't Been Updated for a Long Time
A long absence of updates increases the likelihood of security holes, making the plugin an easier target for hackers.
Incidentally, I'm reviewing this site's plugin set too. I've used Table of Contents Plus, but it hasn't been updated for a long time, and heatmaps suggest users don't use the contents much, so I'm thinking of removing it.
Also, the plugin mentioned earlier, Wordfence Security, alerts you when plugins haven't been updated for a long time, making it useful in that respect too.
Make Regular Backups
The methods above can't cover everything, and even with thorough precautions, it's entirely possible to be targeted by hackers and have the site disappear.
Nothing is 100% safe.
What matters then is how quickly you can recover. For that, it's important to build in regular backups at short intervals.
For backups, you can either use a plugin such as BackWPup or configure them through your hosting server's control panel.
I use mixhost
, and back up automatically with Softaculous, an application provided by the hosting server.Another site of mine once disappeared, but even though I'm not a server engineer, I restored it relatively quickly.
Which method do I recommend? Plugins do add load to the website, so if your hosting server provides a backup function, I think it's better to use it.
*For hosting servers, also see the following article.
Is There an Easier, More Reliable Method?
Those, roughly speaking, are ways to protect your website.
However...
Many people probably feel that way.
There's an approach I'd like to suggest to them.
- Outsource WordPress's initial setup and ongoing maintenance.
- Use a next-generation owned-media platform such as note pro or Wix.
Put simply, leave it to the professionals.
The former costs around ¥50,000 per month, but you can also ask for domain management and other services that prevent your site disappearing because you forgot a renewal, so simply continuing to pay makes it much safer than operating it entirely yourselves.
For the latter, note pro and wix's providers manage the servers, so you don't have to do anything yourselves about vulnerabilities. Even if a problem occurs, a swift, appropriate response can be expected.
*For note pro, also see the following article.
I Offer WordPress Initial Setup and Ongoing Maintenance
I can undertake this too, so if you're interested, I'd appreciate your inquiry through the link below.
It depends on the scope, but an approximate price is ¥100,000 for initial setup and ¥50,000 per month.