WordPress安全チェック
自分のサイトが「外から見て何が分かる状態か」を点検します。更新忘れと情報漏れは、乗っ取りの入口として最も多い項目です。
ℹ️ この診断は当サイトのサーバーが対象URLへアクセスして結果を取得します。入力したURL以外の情報は送信されません。
当サイトのサーバーがトップページと数か所の既知の URL(readme.html、xmlrpc.php、wp-json、wp-login.php など)へアクセスします。ログインや書き込みは行いません。結果は10分間キャッシュします。自分が管理するサイトの点検にお使いください。
使い方
- 自分が管理する WordPress サイトの URL を入力して「点検する」を押します。
- 判定(要対応・改善・良好)と、項目ごとの結果が表示されます。✖ は早めに直すもの、△ は余裕があるときに直すものです。
- 各項目に .htaccess や functions.php の設定例を添えています。変更後にもう一度点検して反映を確かめてください。
点検する項目
| 項目 | 分かること | 対処 |
|---|---|---|
| 本体バージョン | 最新版との差 | 管理画面の「更新」から本体を更新。自動更新を有効に |
| バージョンの露出 | generator タグ、?ver= | セキュリティプラグインで非表示に |
| readme.html | バージョンの露出 | 削除、またはアクセス拒否 |
| XML-RPC | 総当たり・踏み台の入口 | 使っていなければ無効化 |
| ユーザー名の露出 | REST API と ?author= からのログインID取得 | ユーザー列挙の防止を有効に |
| ディレクトリ一覧 | uploads 内のファイル一覧 | Options -Indexes |
| debug.log | エラーログの公開 | WP_DEBUG_LOG を無効化、ファイル削除 |
| 設定ファイルの残骸 | wp-config.php.bak 等の公開 | 直ちに削除し DB パスワードを変更 |
| https 転送 | http のまま表示されるか | .htaccess で https へ転送 |
| セキュリティヘッダー | HSTS、X-Content-Type-Options、X-Frame-Options | セキュリティヘッダー診断で詳しく |
このツールで分からないこと
- プラグインとテーマの更新状況。侵入経路として最も多いのはここですが、外部からは分かりません。管理画面で「更新」の数を確認し、使っていないプラグインは削除してください。
- 管理者のパスワードの強さと二要素認証の有無。
- サーバー側の PHP バージョン。サポートが終了した PHP は、サーバー会社の管理画面で上げられます。
- すでに侵入されているかどうか。見覚えのないユーザー、ファイルの改変、不審な送信メールは別途確認が必要です。
仕組み
当サイトのサーバーが、一般の閲覧者と同じ方法でトップページと既知の数か所の URL を取得し、応答の有無と内容から判定します。ログイン試行、フォーム送信、脆弱性を突く操作は行いません。結果は10分間キャッシュします。自分が管理していないサイトを繰り返し点検することは控えてください。
よくある質問
他人のサイトを診断してもよいですか?
このツールは一般の閲覧者と同じ方法でページを取得するだけで、ログイン試行や脆弱性を突く操作はしません。ただし、管理していないサイトを繰り返し調べることは控えてください。自分が管理・保守するサイトの点検を目的にしています。
「WordPress ではない」と出ましたが WordPress です。
セキュリティプラグインや CDN で WordPress の痕跡(generator メタタグ、wp-content のパス、wp-json)を隠している場合は判定できません。それ自体は問題ではなく、むしろ情報を隠せている状態です。
バージョンが最新より古いと、すぐ危険ですか?
WordPress は古いメジャーバージョンにもセキュリティ修正を配布するため、1つ前のメジャーバージョンで最新のマイナー版なら直ちに危険とは限りません。ただし本体より、更新が止まったプラグインとテーマのほうが侵入経路になる例が多く、このツールの外からの確認では把握できません。管理画面で更新の有無を確認してください。
XML-RPC は無効にすべきですか?
スマートフォンアプリや Jetpack の一部機能で使いますが、使っていなければ無効化を推奨します。パスワードの総当たりや、他サイトへの攻撃の踏み台(ピンバック)に使われることがあるためです。.htaccess で xmlrpc.php へのアクセスを拒否するか、セキュリティプラグインで無効化できます。