ホーム ／ コラム ／ 提供サービス ／ ホームページの最低限のセキュリティ設定。足す前に、入口を減らす
ホームページの最低限のセキュリティ設定。足す前に、入口を減らす
ホームページの最低限のセキュリティ設定は、防御の製品を足すことから始めません。公開サイトの入口を減らしてから、残った場所だけ守ります。
町の和菓子店を想定します。店主が月1回、季節の菓子の案内を載せます。管理画面は、パスワードを書いた紙で入っています。
先に外すのは、そのログイン画面です。残すのは、通信の暗号化、サーバーの防御、フォームの迷惑送信対策、サーバーに入るときの二段階の確認です。
最低限は、製品を足す作業ではない
「セキュリティ設定」と聞くと、有料の防御ソフトを入れる作業に聞こえやすいです。SONOSVIEWが先に見るのは、公開サイトに、狙われやすい場所がいくつあるかです。
WordPress（管理画面から記事を書いて公開する仕組み）では、ログイン画面、本体、見た目を足す部品、データをしまう場所が、公開側に並びます。部品の数だけ、更新と見守りが増えます。
最低限の設定は、その列に製品を足すことではありません。列を短くしてから、残った出入口に鍵をかける作業です。考え方はセキュリティに、4つの層で書いています。減らす、守る、戻せる、見守る、です。
ログイン画面を置かない意味は、ログイン画面のないホームページに分けています。この記事は、外したあとに残す設定です。
先に外すのは、公開されている管理画面
和菓子店の紙のパスワードは、店主が悪いのではありません。月1回しか開かない画面に、強いパスワードを維持するのは、続きにくいからです。
外すのは、訪問者が開ける場所にある管理画面です。アドレスの末尾が `/wp-admin/` になっていることが多いです。別のアドレスに変えていても、プログラムが公開側にあれば、入口は残ります。画面を隠しただけでは、足りません。
外すと、そのサイト向けの本体や部品の更新通知は来なくなります。お知らせは、原稿を渡すか、指示で直す形になります。HTML（ページの中身を書く記述）を、店主が書く必要はありません。
予約や会員が仕事の本体なら、管理画面を残した方が合うことがあります。その場合、最低限の設定だけでは入口は減りません。残す理由を先に確認します。
持っていく文章とURLは、WordPressから乗り換えの範囲です。外したあとに、残った場所へ設定を入れます。
残して入れる設定は、4つ
公開ページから管理画面を外しても、サイトはサーバーの上にあります。問い合わせフォームも残ります。そこだけを、次の4つで守ります。
| 設定 | 守ること | これでは守れないこと |
|---|---|---|
| 通信の暗号化（HTTPS） | 見ている人とサイトのあいだの通信 | ログイン画面そのもの |
| サーバーの防御機能 | 明らかに不正な通信 | 部品の更新そのもの |
| フォームの迷惑送信対策 | 問い合わせ欄への大量送信 | 届いた文の正しさ |
| サーバーに入るときの二段階の確認 | 契約者用パネルへの不正ログイン | 公開ページの管理画面 |
HTTPSは、アドレスが `https://` で始まる状態です。盗聴されにくい通信にするための設定で、管理画面を消す作業ではありません。
サーバーの防御は、レンタルサーバーが用意している機能を使います。SONOSVIEWの公開先は、基本的にエックスサーバーです。独自SSL、WAF（不正な通信を防ぐ仕組み）など、契約に含まれる機能をオンにします。製品を別に買い足す前提ではありません。バックアップの日数は、レンタルサーバーの記事に書いています。
フォームは、人が読める問い合わせを残し、同じ内容の連続送信を受けにくくします。届いた文章が事実かどうかは、店の人が見ます。
二段階の確認は、サーバーのパネルに入るときです。パスワードに加えて、もう一つの確認を求めます。公開ページを読むお客様には、この確認は出ません。
記録と、開いているかの確認は、設定のあとにも残る
設定を入れた日で、作業は終わりません。ページを直したあと、前の状態へ戻せる記録と、サイトが開いているかの確認を残します。
記録が残っていれば、誤って公開した文言を、その場の記憶だけで探さなくて済みます。誰が、いつ、何を変えたかを追いやすくします。
開いているかの確認は、標準保守に含まれます。標準保守は11,000円／月〜で、月4記事までの公開、軽微な修正、変更の記録、稼働確認までです。料金では、セキュリティを考慮した運用も、この月額の中に書いています。
最低限の設定だけを切り出した金額は、料金ページにありません。制作や乗り換えのときに入れ、公開後は月額の見守りに含めます。見た目を残して移す費用は220,000円〜、小規模は110,000円〜です。金額は税込です。
どの形でも、心配をゼロにはできません。サーバー、フォーム、外部のサービスは、公開後も残ります。
パソコンの対策と、絶対に安全は、このサービスの外
この記事の設定は、公開しているホームページの話です。店のパソコン、メール、Googleアカウントは、別の入口です。
従業員1〜10人のパソコンを守る話は、低コストで守る4つの設定に分けています。パソコンに防御ソフトを入れても、公開サイトのログイン画面は残ります。逆に、サイトの管理画面を外しても、店主のパソコンのパスワードは別です。
「HTMLなら絶対に安全」とも言いません。続けるか移すかにも書いたとおり、どの構成でもリスクは残ります。減らしているのは、攻撃の対象になりやすい部品です。
相談の前に、今の入口が分かれば足ります
次の3つが分かると、最低限の設定で足るか、管理画面を残す方がよいかが分かれます。空欄があっても、確認は始められます。
- 今のサイトのURL
- 管理画面を、誰が、月に何回開いているか
- 予約、会員、ショップが、仕事の本体かどうか
URLを送るだけの確認は、無料診断です。公開されているページを見るだけで、制作会社やサーバー会社へこちらから連絡することはありません。