中小企業のための
Webサイトセキュリティ
チェックリスト

URLが「https://」で始まっていることを確認。Googleも非SSL（http://）サイトを「安全でない」と警告表示します。

「admin」「password」「会社名+123」などは論外。12文字以上で英大小文字・数字・記号を含むパスワードを設定。

古いバージョンには既知の脆弱性があります。攻撃者は脆弱性データベースを見て古いサイトを狙います。

万が一乗っ取られても、バックアップがあれば復旧できます。ファイルとデータベース両方が必要。

「無効化」だけでは不十分。使っていないプラグインも攻撃の入り口になります。

攻撃者は最初に「admin」でログインを試みます。推測されにくいユーザー名に変更を。

ブルートフォース攻撃（総当たり攻撃）を防ぐため、ログイン失敗回数に制限を設けましょう。

フォームからの自動送信攻撃を防止。reCAPTCHAやハニーポットを導入。

PHP 7.4以下はサポート終了済み。PHP 8.1以上を推奨。

WordPress管理画面からテーマ/プラグインのコードを編集できる機能は、乗っ取り時に悪用されます。

SQLインジェクションやXSS攻撃を自動でブロック。多くのレンタルサーバーで無料提供。

FTPアカウントが乗っ取られると、サイト全体を改ざんされます。

/wp-content/uploads/ などにアクセスした時、ファイル一覧が見えると情報漏洩のリスク。

データベースのパスワードなど重要情報が含まれるファイル。外部からアクセス不可に。

デフォルトの「wp_」のままだと、SQLインジェクション攻撃が成功しやすい。

X-Frame-Options、X-Content-Type-Options、Content-Security-Policyなど。

ブルートフォース攻撃やDDoS攻撃の踏み台として悪用されやすい機能。

/wp-json/wp/v2/users でユーザー名が漏洩するリスク。

PHPエラーがそのまま表示されると、ファイルパスなどの情報が漏洩。

不審なアクセス（大量のログイン試行など）を早期発見できます。

ファイル改ざん検知、マルウェアスキャン、ファイアウォール機能など。

既に感染していても気づかないケースが多い。定期スキャンで早期発見。

身に覚えのないファイル変更は改ざんの可能性。アラート通知を設定。

Googleがマルウェアやハッキングを検知すると通知が届きます。

パスワードが漏洩しても、2FAがあれば不正ログインを防げます。

全員に管理者権限を与えない。必要な権限だけを付与（最小権限の原則）。

退職した社員のアカウントが残っていると、不正アクセスのリスクに。

証明書が切れるとサイトにアクセスできなくなる。自動更新設定を確認。

サイトがダウンしたらすぐに通知。攻撃の兆候を早期発見。

もし被害にあった時、誰が何をするか事前に決めておく。

/wp-admin/ → 独自のURLに変更。攻撃者がログインページを見つけにくくなる。

管理画面へのアクセスを特定のIPアドレスのみに制限。

大量アクセス攻撃を軽減。サーバーのIPアドレスも隠蔽できる。

専門家による診断で、見落としがちな脆弱性を発見。

XSS攻撃を防ぐためのHTTPヘッダー設定。

外部CDNから読み込むファイルの改ざんを検知。

個人情報を扱う場合は特に重要。保存データの暗号化。

実際に攻撃を試みて脆弱性を発見する高度なテスト。

複数のログを統合して分析、異常を検知するシステム。

万が一の被害に備えた保険。損害賠償、復旧費用をカバー。