この記事は「開設手順4 」の続きです。
ConoHa WINGでドメインやサーバーの準備ができたら、必ずセキュリティ設定を行いましょう。
セキュリティ設定前にWordPressテーマを導入してしまうと、ウィルス感染リスクが高まります。しかし、この記事の「3つの設定」で対策できます。
この記事を書いている人
- ConoHaWING歴5年
- SWELL歴4年
- SEO検定一級合格
- 月収6ケタ（プラチナランク）
- 某ASPの社員
毎日受けるサイバー攻撃も怖くない！ConoHaWINGセキュリティ
ブログを始める人はセキュリティ設定が必須です。
なぜなら、全世界のワードプレスへの攻撃数は、1日5000万件を超えているからです。
ワードプレスは無料で高性能。そのため利用者が多く、トラブルも多いので、必ず対策しましょう。
- 利用者が多い（全世界の40％のシェア）
- オープンソース（無料で使える）
- 初心者でも利用できる
実際の管理画面です。赤い枠は「攻撃された回数」を示しており、毎日サイバー攻撃を受けていることがわかります。
ConoHa WINGでは、以下のセキュリティ対策が標準で備わっています。
- SSL（暗号化）: 通信を暗号化し、データの盗聴や改ざんを防ぎます。
- IPS（不正侵入防止システム）: 不正なアクセスや攻撃を検知し、自動的にブロックします。
- IDS（侵入検知システム）: サーバーへの不正な侵入を検知し、管理者に通知します。
- WAF（脆弱性対策）: ウェブアプリケーションの脆弱性を狙った攻撃から保護します。
- 国外IPアクセス制限: 特定の国からのアクセスを制限し、不正なアクセスを防ぎます。
これらの対策によって、サイバー攻撃から保護されています。
ConoHaWINGで安全なブログ運営を実現！３つのセキュリティ設定
ConoHa WINGでブログを始める前に必須のセキュリティ設定は以下3つです。
- WAFをON
- 海外コメント/トラックバックをON
- 独自SSLをON
順番に解説します。
WAFをONにする
WAF（ワフ：Web Application Firewall）とは、あなたのブログを守る「見えない壁」のようなものです。インターネットからの悪いアクセス（悪意のある通信）を見つけてブロックしてくれます。
特に、お問い合わせフォームやコメント欄など、読者さんが何かを入力するタイプのブログには必須の設定です。
WAFは無料で使えますし、設定はたったのワンクリックで完了します。あなたのブログを守るために必ずONにしましょう。
- 画像①、サイト管理をクリック。
- 画像②、WAFをONにします。
海外コメント/トラックバックをON
「海外コメント/トラックバック」とは、海外からの行動を制限する機能です。
海外コメントは、日本以外のコメントを除外します。トラックバックは、あなたのサイトのリンクが他のサイトで掲載された時に通知します。被リンク対策や交流に便利です。
海外には危険な攻撃をするグループが多いので、OFFからONに切り替えましょう。
海外コメント/トラックバック設定方法
- 画像①、「サイト管理」をクリック。
- 画像②、「Wordpressセキュリティ」をクリック。
- 画像③、「海外コメント/トラックバック」をONに設定。
無料独自SSLをONにする
ConoHa WINGは、無料独自SSL「HTTPSサーバー証明書」を設定できます。
SSLとは、あなたのブログを見る人（読者さん）とブログの間の通信内容を、誰にも読み取れないように暗号化する仕組みです。
SSL設定をしていないブログは、第三者に通信内容を盗み見られたり、悪用されたりする危険性があります。これはブログを訪れた読者さんの情報も危険にさらすことになります。
ブログのアドレス（URL）の左側に鍵マークが表示されていれば、SSL化されている証拠です。これはブログの信頼性にも繋がります。
- ブログの信頼性が高まり、読者さんに安心感を与えられます
- GoogleがSSL化を推奨しているため、SEOに有利になります
- 一度設定すれば、更新作業は自動で行われます
- いくつブログを作っても無料でSSLが使えます
SSLの設定はボタンクリックだけで完了します。画像②をONにするだけです。
10分ほどで自動的に設定が完了します。使用できるサイト数に上限はなく、更新も自動なのでとても便利です。
ConoHaWINGセキュリティを無料で強化！『ネットde診断』で毎月サーバー健康チェック
ConoHa WINGはセキュリティ機能が充実しています。さらに、「ネットde診断」というサービスも無料で利用できます。
ネットde診断は、GMOグループ「GMOサイバーセキュリティbyイエラエ」の技術を活用した、高水準の脆弱性診断をご利用いただける機能です。ConoHaでドメインをご契約の場合、どなたでも個別でのお申込みは不要で、コントロールパネルより診断を行うことができ、診断結果はメールにてご通知されます。
| 調査項目 | 説明 |
|---|---|
| Git フォルダの公開 | Gitで管理しているフォルダ（.git/など）が外部から閲覧可能かを確認。ソースコードや機密情報の漏洩リスクを検出。 |
| 公開されるべきでない情報を閲覧可能（データベース） | データベース関連のバックアップや設定ファイル等が外部から見えるかをチェック。システム情報漏洩につながる恐れを検出。 |
| 公開されるべきでない情報を閲覧可能（バックアップ） | 本来非公開とすべきバックアップファイル（例：.bak）が閲覧可能かを検出。認証情報やログの流出リスクを確認。 |
| 公開されるべきでない情報を閲覧可能（SSH） | SSH設定ファイルや秘密鍵などが外部公開されていないかをチェック。不正アクセスの起点となるリスクを発見。 |
| 公開されるべきでない情報を閲覧可能（awsコンフィグ） | AWSの認証情報を含む設定ファイルが外部から見えるかを検出。クラウド資源の不正操作リスクを確認。 |
| 公開されるべきでない情報を閲覧可能（ログ） | サーバーやアプリのログファイルが外部に公開されていないかをチェック。内部情報の漏えいを防止。 |
| 公開されるべきでない情報が閲覧可能（シェル設定情報） | シェルの設定ファイル（.bashrcなど）が外部から閲覧可能かを検出。環境変数など機密情報漏洩のリスクを確認。 |
| 公開されるべきでない情報を閲覧可能（コマンド履歴） | シェルのコマンド履歴ファイル（.bash_historyなど）が外部から閲覧可能かをチェック。操作履歴漏洩を検出。 |
| 公開されるべきでない情報を閲覧可能（.envファイル） | 環境変数を定義するファイル（.env）が外部に公開されていないかを確認。APIキーなど機密情報漏洩のリスクを検出。 |
| ディレクトリトラバーサル | リクエスト経由で本来アクセスできないファイル・ディレクトリに到達できないかをテスト。任意ファイル取得のリスクを検出。 |
| 公開されるべきでない情報を閲覧可能（WordPress 設定ファイル） | WordPressの設定ファイルやそのバックアップが外部公開されていないかをチェック。DB接続情報漏洩リスクを確認。 |
| データベースバックアップのディレクトリリスティング（WordPress） | WordPressのバックアップディレクトリに一覧表示機能が有効かを検出。バックアップファイルの中身や構成情報漏洩を防止。 |
| 公開されるべきでない情報を閲覧可能（WordPress ダンプファイル） | WordPressのダンプファイル（.sqlなど）が外部公開されていないかをチェック。ユーザデータ流出リスクを検出。 |
| 新規 WordPress ユーザが追加可能 | WordPressログイン画面から新規ユーザ登録が可能かをテスト。第三者による投稿権限取得リスクを確認。 |
※出典: ConoHa WING サポート「ネットde診断について」
ネットde診断はサイトの健康診断のようなもの。例えば「公開されるべきでない情報」が閲覧できる状態（漏洩）を確認して、サイトの脆弱性を検知できます。
ネットde診断は、ドメインごとに毎月1回、無料で診断できます。
筆者は9つのドメインを所有しており、毎月1回自動で診断するように設定しています。
毎月ドメインをチェックしてくれるため、安心して利用できます。
ConoHa WINGで安心運営：ウイルス・スパム対策【まとめ】
まとめです。
ConoHa WINGは、セキュリティ対策が非常にしっかりしているレンタルサーバーです。
今回ご紹介した設定をしておけば、ウイルス感染やスパム攻撃の心配を減らして、安心してブログ運営ができます。
- WAFをONにする
- 海外コメント/トラックバックをONにする
- 独自SSLをONにする
もしブログがウイルスに感染したりハッキングされたりすると、復旧作業に追われてブログを書くどころではなくなってしまいます。最悪の場合、ブログを閉鎖せざるを得なくなることもあります。
だからこそ、ConoHa WINGを契約したら、ブログを始める前に今回紹介した設定を必ず行いましょう。
手順6では、WordPressで人気テーマSWELLを導入する方法を解説します。