WordPress 脆弱性診断・セキュリティチェック（無料）

診断は次の順に進みます。どれも、誰でも見られるページ・公開のファイル・応答のヘッダー・DNS を、通常の閲覧と同じ方法で確かめるものです。

1. トップページ

入力された URL のトップページを、通常の閲覧と同じように開きます。応答の速さと HTTP の状態、応答のヘッダーを確かめ、以降の項目の材料にします。サイトに接続できない場合は、ここで診断を終えます。

2. WordPress の判定

ページの HTML にある wp-content・wp-includes・generator と、REST API（/wp-json/）の応答から、WordPress のサイトかどうかを判定します。Cloudflare などの CDN・WAF を経由しているかも、応答のヘッダーから確かめます。WordPress ではないと判定した場合は、一般的な項目だけを確認します。

3. HTTPS と証明書

通信が HTTPS で暗号化されているか、SSL 証明書が有効か、期限が近づいていないかを確認します。http で開いたときに https へ転送されるか、HSTS（https の強制）が設定されているかも見ます。暗号化されていないと、フォームの入力内容や Cookie が途中で読み取られるおそれがあります。

4. WordPress の版

HTML の generator・RSS フィード・readme.html から WordPress の版が読み取れるかを確認し、読み取れた場合は公式の最新版と比べます。版が分かると、その版の公表済みの脆弱性を狙われやすくなります。generator の出力を止め、readme.html を削除すると、版を推測されにくくなります。

5. PHP とサーバー

応答のヘッダー（X-Powered-By・Server）から、PHP や Web サーバーの版が見えるかを確認します。PHP の版が分かった場合は、セキュリティ修正の提供期限で判定します。提供が終わった PHP は、新しい脆弱性が見つかっても修正されません。

6. ログイン ID の露出

REST API のユーザー一覧（/wp-json/wp/v2/users）と ?author= の転送から、ログイン ID の候補が読み取れるかを確認します。ID が分かると、残りはパスワードの推測だけになります。見つかった名前は一部を伏せて表示します。

7. XML-RPC

xmlrpc.php が応答するかを確認します。XML-RPC は 1 回の通信で多数のパスワードを試せるため、総当たりや他のサイトへの攻撃の踏み台に使われることがあります。Jetpack やスマホアプリとの連携に使っていなければ、無効にするのが一般的です。

8. ログイン画面・管理画面

/wp-login.php と /wp-admin/ を開き、ログイン画面が標準の URL のまま誰でも開けるか、Basic 認証・URL の変更・アクセス制限が入っているかを確認します。画像認証（CAPTCHA）や二段階認証の仕組みの跡も見ます。ログインを試すことはしません。

9. 公開されてはいけないファイル

エラーログ（/wp-content/debug.log）が誰でも読めないか、アップロードフォルダ（/wp-content/uploads/）でファイルの一覧が表示されないかを確認します。エラーログにはサーバーのフォルダの場所やプラグイン名が書かれていることがあり、攻撃の手がかりになります。

10. セキュリティヘッダー・混在コンテンツ

X-Frame-Options・X-Content-Type-Options・Referrer-Policy の 3 つのヘッダーがあるかを確認します。https のページの中で、画像や CSS・JavaScript を http で読み込んでいないか（混在コンテンツ）も数えます。ヘッダーは .htaccess やセキュリティ系プラグインで追加できます。

11. プラグイン

ページの HTML から読み取れるプラグインとその版を、WordPress 公式ディレクトリの最新版と比べます。作者の更新が 2 年以上止まっているプラグインも挙げます。古い版のプラグインは、乗っ取りの原因として最も多いものの一つです。HTML に出てこないプラグインは確認できません。

12. テーマ

使っているテーマと版を読み取り、公式ディレクトリにあるテーマなら最新版と比べます。有料・独自のテーマは、最新版かどうかを外から確認できません。子テーマで変更している場合は、更新で変更が消えないことを確かめてから更新します。

13. メールのなりすまし対策（DNS）

ドメインの DNS から、SPF と DMARC が設定されているかを確認します。設定が無いと、自社のドメインを名乗ったなりすましメールを、受け取った側が見分けにくくなります。DNS の管理会社やメールサービスも推定して表示します（DMARC に含まれるメールアドレスは伏せます）。

14. ご入力の情報

PHP の版・二段階認証・バックアップ・管理者アカウント・更新や監視の体制など、外からは分からないことを 16 の質問で任意に答えると、判定に加えます。結果の画面でも答えられ、答えると診断し直さずに判定が変わります。答えていない項目と「分からない」の項目は「要確認」として、確かめ方とあわせて表示します。答えた内容は保存しません。

15. まとめ

見つかった項目を「重要・注意・軽微・要確認・OK・参考」に分け、A・B・C の 3 段階で判定します。重要が 1 件でもあれば C、注意があれば B、どちらも無ければ A です。各項目に対応策と、対応の種類（設定の変更・更新作業など）を表示します。

乗っ取りを減らすうえで大切なのに、外からは確かめられないことがあります。診断の質問（任意）で答えると判定に加わり、答えていない項目は「要確認」として確かめ方を表示します。

二段階認証

ログインのときに、パスワードに加えてスマホのアプリなどの確認コードを求める設定です。パスワードが漏れたり推測されたりしても、それだけでは管理画面に入られにくくなります。

確かめ方: 管理画面にログインするとき、確認コードを求められるかどうかで分かります。管理者全員に設定されているかも確かめます。

バックアップ

乗っ取りや更新の失敗のときに、元に戻せるかどうかはバックアップで決まります。サーバーの中だけに置いていると、サーバーごと失ったときに戻せません。

確かめ方: サーバーの管理画面で、自動バックアップの有無・保存期間・戻し方（費用がかかるか）を確認します。

管理者アカウント

管理者は何でも変更できる権限です。退職した人や前の制作会社のアカウントが残っていると、そこが入口になることがあります。

確かめ方: 管理画面の「ユーザー」で権限が「管理者」の人を確認し、今いない人のアカウントは削除します。更新だけの人は「編集者」などに下げます。

PHP の版

PHP は WordPress を動かしているプログラムの言語です。セキュリティ修正の提供が終わった版のままだと、WordPress を最新にしても守られない脆弱性が残ります。多くのサーバーは X-Powered-By を出さないため、外からは分からないのが普通です。

確かめ方: サーバーの管理画面（エックスサーバーなら「PHP Ver.切替」）か、WordPress の「ツール > サイトヘルス > 情報 > サーバー」で確認できます。

管理画面にログインできる場合は、「ダッシュボード > 更新」に今の版と、新しい版が出ているかが表示されます。ダッシュボードの「概要」や、管理画面の各ページの右下にも版が表示されます。

外からは、HTML の generator、RSS フィード、readme.html から版が分かる場合があります。この診断では、この 3 つから版が読み取れるかを確かめ、読み取れた場合は公式の最新版と比べます。

版が外から分からないほうが望ましいのは、版が分かると、その版で公表済みの脆弱性を狙った攻撃の対象を絞り込まれやすくなるためです。ただし、版を隠しても古いままでは意味がありません。大切なのは、最新の版に更新し続けることです。

このツールは、ページの HTML から見える範囲のプラグインとその版を、WordPress 公式ディレクトリの最新版と比べます。古い版のまま、または作者の更新が止まっているプラグインが分かります。HTML に出てこないプラグインと、その版にどんな脆弱性があるかまでは分かりません。

使っているプラグインに既知の脆弱性があるかは、次のような脆弱性のデータベースで、プラグイン名や版から調べられます。

• WPScan（WordPress 本体・プラグイン・テーマの脆弱性のデータベース）
• Wordfence Intelligence（WordPress の脆弱性のデータベース）
• JVN（Japan Vulnerability Notes）（国内の脆弱性の情報）

管理画面の「プラグイン」の一覧で「新しいバージョンがあります」と出ているものは、まず更新します。更新の前にはバックアップを取ります。

WordPress のログイン画面は、標準では誰でも /wp-login.php で開けます。WordPress のサイトを狙う機械的なパスワードの総当たりは、まずこの URL に送られます。ログイン URL の変更や Basic 認証は、総当たりの通信が届く入口を減らし、二段階認証は、パスワードが漏れたり推測されたりしたときの乗っ取りを減らします。

代表的なやり方は次のとおりです。

• SiteGuard WP Plugin（ログイン URL の変更・画像認証・ログイン試行回数の制限など）
• ログイン画面への Basic 認証（サーバーの管理画面や .htaccess で設定）
• Two Factor などのプラグインによる二段階認証（Google Authenticator などのアプリで確認コードを入れる）

この診断では、ログイン画面が標準の URL で開けるか、Basic 認証・URL の変更・アクセス制限が入っているか、ログイン画面に画像認証や二段階認証の仕組みの跡があるかまでを確かめます。管理者が実際に二段階認証を使っているかは外からは分からないため、任意の質問で答えると判定に加わります。

見覚えのないページや管理者が増えた、別のサイトへ転送される、といった様子に気づいたら、最初に次の 4 つを行います。

1. 慌てて消さない。改ざんされたファイルや見覚えのない管理者をすぐに消すと、どこから入られたか、いつからかが分からなくなります。
2. バックアップから戻す前に、状況を記録する。画面の様子、見覚えのないファイル・ユーザー、気づいた日時を残し、サーバーのアクセスログを保存します。
3. パスワードをすべて変える。WordPress の管理者全員、サーバーの管理画面・FTP・データベース、メールのパスワードを変えます。
4. 更新する。入口になったと考えられる古い WordPress 本体・プラグイン・テーマを更新し、改ざんされる前のバックアップから戻したうえで、同じ入口が残っていないかを確かめます。

自社だけで進めるのが難しい場合は、状況を伺ったうえで、何から行うかをご案内します。 改善を相談する（無料）