確認しておきたい基本的なセキュリティ対策
Webサイトを公開していると、「自分のサイトのセキュリティ対策は十分なのか」「外部からどのように見えているのか」と気になることがあります。
Webサイトセキュリティ診断とは、Webサイトの設定や公開状態などを確認し、セキュリティ上注意したいポイントがないかを調べるものです。
特にWordPressなどのCMSを利用しているサイトでは、本体・テーマ・プラグインのアップデートだけでなく、SSL、HTTPヘッダー、公開情報、重要ファイル、DNSなど、複数の項目を確認することが重要です。
Webサイトのセキュリティ診断が必要な理由
Webサイトは正常に表示されていても、セキュリティ設定まで適切とは限りません。
例えば、セキュリティ関連のHTTPヘッダーが設定されていなかったり、本来公開する必要のない情報やファイルへ外部からアクセスできる状態になっていたりする場合があります。
こうした状態は、普段サイトを閲覧しているだけでは気付きにくいため、定期的に外部からの公開状態を確認することが大切です。
Webサイトセキュリティ診断で確認したい主な項目
Webサイトによって必要な対策は異なりますが、基本的な診断では次のような項目が確認対象になります。
- SSL・HTTPSでは、通信がHTTPSによって保護されているか、SSL証明書に問題がないかを確認します。
- HTTPセキュリティヘッダーでは、ブラウザに対して適切なセキュリティ制御が指定されているかを確認します。
- WordPressの公開情報では、WordPress特有のURLや機能などから、必要以上の情報が外部へ公開されていないかを確認します。
- 重要ファイル・公開設定では、設定ファイル、バックアップファイル、ログなど、本来公開すべきではない情報へアクセスできる状態になっていないかを調べます。
- DNS・メール関連設定では、DNSの基本情報に加え、SPF・DMARC・CAAなど、ドメインやメールの安全な運用に関係する設定を確認します。
Webサイトセキュリティ診断でかんたん診断
「Tool Biyori Security Scanner」は、調べたいWebサイトのURLを入力するだけで、外部から確認できる基本的なセキュリティ項目をチェックできるWebサイトセキュリティ診断ツールです。
診断結果は総合評価だけでなく、カテゴリごとの点数や検出された項目を表示します。
問題や注意点が確認された場合には改善のための情報も表示するため、「どこを確認すればよいのか分からない」という場合の最初のチェックにも利用できます。
また、サイトに対して攻撃を行うような診断ではなく、公開されている情報を中心とした非破壊・低負荷のチェックを前提としています。
診断結果が良ければ安全とは限りません
Webサイトセキュリティ診断を利用する際に重要なのが、診断結果だけでWebサイトの安全性を判断しないことです。
外部から確認できる診断では、サーバー内部の設定、管理画面のパスワード強度、WordPress本体・テーマ・プラグイン内部の脆弱性、マルウェア感染など、確認できない問題もあります。
そのため、セキュリティ診断は「安全であることを証明するもの」ではなく、現在のWebサイトに改善すべきポイントがないかを確認するための一つの手段として活用することが適切です。
定期的なセキュリティチェックを
Webサイトのセキュリティ状態は、一度確認すれば終わりではありません。
WordPressやプラグインの更新、サーバー設定の変更、新しい脆弱性の発見などによって、必要な対策も変化します。
日頃のアップデートやバックアップなどの基本的な管理とあわせて、定期的にWebサイトの公開状態を確認することで、問題の早期発見につなげることができます。
まずは現在のWebサイトが外部からどのような状態に見えているのか、Webサイトセキュリティ診断で確認してみてください。