ホーム ／ コラム ／ 提供サービス ／ ホームページの最低限セキュリティ：先に入口を減らし、残りを守る
ホームページの最低限セキュリティ：先に入口を減らし、残りを守る
公開サイトの攻撃対象を減らしたうえで、通信・サーバー・フォームを守る最低限の設定を解説します。
ホームページのセキュリティ対策は、まずセキュリティ製品の導入から考えがちです。しかし本当に優先すべきは、公開されている「入口」そのものを減らすことです。入口が少なければ、守るべき場所も自然と絞られます。
町の和菓子店を想定します。店主が月1回、季節の菓子の案内を載せます。管理画面は、パスワードを書いた紙で入っています。
先に外すのは、公開されている管理画面です。残すのは、通信の暗号化、サーバーの防御、フォームの迷惑送信対策、サーバー管理画面への二段階認証の4つです。
最低限のセキュリティは「足す」作業ではない
「セキュリティ設定」と聞くと、有料の防御ソフトを入れる作業に聞こえやすいです。SONOSVIEWが先に見るのは、公開サイトに、狙われやすい場所がいくつあるかです。
WordPress（管理画面から記事を書いて公開する仕組み）では、ログイン画面、本体、テーマ・プラグイン、データベースが、公開側に並びます。その数だけ、更新と見守りが増えます。
最低限の設定は、その列に製品を足すことではありません。列を短くしてから、残った出入口に鍵をかける作業です。考え方はセキュリティに、4つの層で書いています。減らす、守る、戻せる、見守る、です。
ログイン画面を置かない意味は、ログイン画面のないホームページに分けています。この記事は、外したあとに残す設定です。
先に外すべきは、公開されている管理画面
和菓子店の紙のパスワードは、店主が注意不足なのではありません。月1回しか開かない画面に、強いパスワードを維持するのは、現実的に難しいからです。
外すのは、訪問者が開ける場所にある管理画面です。アドレスの末尾が `/wp-admin/` になっていることが多いです。別のアドレスに変えていても、プログラムが公開側にあれば、入口は残ります。画面を隠しただけでは、足りません。
外すと、WordPress本体やプラグインの更新通知は来なくなります。お知らせや修正は、原稿を渡すか、指示に基づいて運用側が対応する形になります。HTML（ページの中身を書く記述）を、店主が書く必要はありません。
予約や会員が仕事の本体なら、管理画面を残した方が合うことがあります。その場合、最低限の設定だけでは入口は減りません。まず「残す理由」を確認してください。
持っていく文章とURLは、WordPressから乗り換えの範囲です。外したあとに、残った場所へ設定を入れます。
残して入れる設定は4つ
公開ページから管理画面を外しても、サイトはサーバーの上にあります。問い合わせフォームも残ります。そこだけを、次の4つで守ります。
| 設定 | 守ること | これでは守れないこと |
|---|---|---|
| 通信の暗号化（HTTPS） | 見ている人とサイトのあいだの通信 | ログイン画面そのもの |
| サーバーの防御機能 | 明らかに不正な通信 | プラグイン更新そのもの |
| フォームの迷惑送信対策 | 問い合わせ欄への大量送信 | 届いた内容の真偽 |
| サーバー管理画面の二段階認証 | レンタルサーバーパネルへの不正ログイン | 公開ページの管理画面 |
HTTPSは、アドレスが `https://` で始まる状態です。盗聴されにくい通信にするための設定で、管理画面を消す作業ではありません。
サーバーの防御は、レンタルサーバーが用意している機能を使います。SONOSVIEWの公開先は、基本的にエックスサーバーです。独自SSL、WAF（不正な通信を防ぐ仕組み）など、契約に含まれる機能をオンにします。製品を別に買い足す前提ではありません。バックアップの日数は、レンタルサーバーの記事に書いています。
フォームは、人が読める問い合わせを残し、同じ内容の連続送信を受けにくくします。届いた文章が事実かどうかは、店の人が見ます。
二段階認証は、レンタルサーバーの管理パネルに入るときです。パスワードに加えて、もう一つの確認を求めます。公開ページを読むお客様には、この確認は出ません。
設定後も残る「記録」と「稼働確認」
設定を入れた日で、作業は終わりません。ページを直したあと、前の状態へ戻せる記録と、サイトの稼働確認を残します。
記録が残っていれば、誤って公開した文言を、その場の記憶だけで探さなくて済みます。誰が、いつ、何を変えたかを追いやすくします。
稼働確認は、標準保守に含まれます。標準保守は5,500円／月〜で、月4記事までの公開、軽微な修正、変更の記録、稼働確認までです。料金では、セキュリティを考慮した運用も、この月額の中に書いています。
最低限の設定だけを切り出した料金は、別途設けていません。制作や乗り換えのときに入れ、公開後は月額の見守りに含めます。見た目をそのまま移行する費用は220,000円〜、小規模は110,000円〜です。金額は税込です。
どの形でも、リスクをゼロにはできません。サーバー、フォーム、外部のサービスは、公開後も残ります。
パソコンの対策と「絶対に安全」は別の話
この記事の設定は、公開しているホームページの話です。店のパソコン、メール、Googleアカウントは、別の入口です。
従業員1〜10人のパソコンを守る話は、低コストで守る4つの設定に分けています。パソコンに防御ソフトを入れても、公開サイトのログイン画面は残ります。逆に、サイトの管理画面を外しても、店主のパソコンのパスワードは別です。
「HTMLなら絶対に安全」とも言いません。続けるか移すかにも書いたとおり、どの構成でもリスクは残ります。減らしているのは、攻撃の対象になりやすい部品です。
相談の前に：今の「入口」が分かれば十分
次の3つが分かると、最低限の設定で十分か、管理画面を残す方がよいかが分かれます。空欄があっても、確認は始められます。
- 今のサイトのURL
- 管理画面を、誰が、月に何回開いているか
- 予約、会員、ショップが、仕事の本体かどうか
URLを送るだけの確認は、無料診断です。公開されているページを見るだけで、制作会社やサーバー会社へこちらから連絡することはありません。