セキュリティ・SEO・AIO簡易診断

通信の暗号・サーバー・読み込む部品・改ざんの痕跡

• https で開けるかトップを https で開く。開けなければ http でも開いて比べる
• http から https への転送http:// で開き直して、https に転送されるか
• 証明書の期限切れサーバーにつないで証明書を受け取り、期限を読む
• 証明書の期限の近さ期限までの残りの日数
• 証明書の発行元証明書を出した会社
• 証明書の鍵の長さ鍵の種類と長さ
• 古い暗号の方式 TLS 1.0TLS 1.0 だけでつないでみる
• 古い暗号の方式 TLS 1.1TLS 1.1 だけでつないでみる
• 新しい暗号の方式 TLS 1.3TLS 1.3 でつないでみる
• PHP のサポート応答に出ている PHP の版がサポート中か
• PHP の重大な弱点の修正2026年10月の重大な弱点 (PHP2Shell) の修正版か
• PHP の版の露出PHP の版を外に見せていないか
• サーバーの版の露出サーバーの種類と版を外に見せていないか
• サーバーの会社IP の逆引きと持ち主の記録から、16社を見分ける
• サーバーの国IP の持ち主の記録の国
• HSTS (いつも https)応答の見出しに Strict-Transport-Security があるか
• HSTS の期間max-age が半年以上か
• ファイルの種類の決めつけ防止X-Content-Type-Options があるか
• ほかのサイトへの埋め込みの拒否X-Frame-Options か CSP の frame-ancestors があるか
• 読み込んでよい場所の指定 (CSP)Content-Security-Policy があるか
• よそへ渡す情報のしぼり込みReferrer-Policy があるか
• カメラなどの機能の制限Permissions-Policy があるか
• Mozilla の採点HTTP Observatory の点 (A〜F) と合格の数
• Cookie の Securehttps だけで送る印があるか
• Cookie の HttpOnlyスクリプトから読ませない印があるか
• Cookie の SameSiteよそから勝手に使わせない印があるか
• JavaScript の部品の弱点読み込む部品の名前と版を読み取り、公開の弱点の記録 Retire.js (76種類の部品) と照合
• 乗っ取られた配信元polyfill.io など、持ち主が変わって悪いスクリプトを配った配信元から読んでいないか
• 改ざんを見分ける印 (SRI)共有の配信サービス8か所から読むスクリプトに integrity があるか
• 暗号化されない部品 (トップ)https のページで、画像・スクリプト・CSS を http から読んでいないか
• 暗号化されない部品 (ほかのページ)最大12ページで同じ確認
• 改ざんの痕跡: 見覚えのない言葉カジノ・偽ブランド・薬の宣伝などの言葉
• 改ざんの痕跡: 読めなくしたスクリプト中身を隠して動かすスクリプトの書き方
• 改ざんの痕跡: 見えない埋め込み大きさ0や非表示の埋め込み (正規のサービスは除く)
• 読み込み先のドメインの消失外から読むスクリプトの読み込み先 (最大15) が DNS にまだあるか
• ドメインの電子署名 (DNSSEC)ドメインの情報に署名があり、確かめられるか
• 証明書を出せる会社の指定 (CAA)CAA の設定があるか
• 別の窓で開くリンクの守り外へのリンクの target="_blank" に rel="noopener" があるか
• セキュリティの連絡先 (security.txt)決まりの場所に連絡先があるか

ログインの入口と、守りの仕組みがどこまで入っているか

• 攻撃を止める仕組み (WAF・CDN)応答の見出しから Cloudflare・Sucuri・Imperva・Akamai など8つの防御・配信のサービスを見分ける
• WAF のプラグイン（WordPress のとき）攻撃を止める機能のあるセキュリティのプラグインがあるか
• ログイン ID: 利用者の一覧（WordPress のとき）/wp-json/wp/v2/users がログインの名前を返すか (名前は表示しない)
• ログイン ID: 利用者の一覧の別の入口（WordPress のとき）?rest_route=/wp/v2/users が名前を返すか
• ログイン ID: 投稿者のページの URL（WordPress のとき）?author=1 が /author/名前/ に転送されるか
• XML-RPC (外からのログインの窓口)（WordPress のとき）xmlrpc.php が動いているか
• XML-RPC の場所を知らせる見出し（WordPress のとき）応答に X-Pingback が付いているか
• ログイン画面の追加の鍵（WordPress のとき）wp-login.php がもう1つのパスワード (401) を求めるか
• ログイン画面に入れる人のしぼり込み（WordPress のとき）wp-login.php が断られる (403) か
• ログイン画面の場所の変更（WordPress のとき）wp-login.php が無い (404) か、別の場所に転送されるか
• ログイン画面の画像認証（WordPress のとき）ログイン画面に画像認証・reCAPTCHA・Turnstile・hCaptcha の印があるか
• ログインの回数制限のプラグイン（WordPress のとき）回数制限の機能があるプラグインが入っているか
• 二段階認証のプラグイン（WordPress のとき）二段階認証の機能があるプラグインが入っているか
• セキュリティのプラグインの見分け（WordPress のとき）SiteGuard・XO Security・Wordfence など17種類を見分ける
• 海外から管理画面に入れるか（WordPress のとき）アメリカ・ドイツ・シンガポールからログイン画面を開き、日本からと比べる
• 海外から XML-RPC を使えるか（WordPress のとき）日本から開いているとき、海外の3か所からも開くか

公式のデータと弱点の記録で照合する (プラグインは1つずつ・最大24個)

• 本体の版（WordPress のとき）generator → 本体の CSS・JS の ?ver= → /feed/ の順に探す
• 本体の版の露出（WordPress のとき）ページに版を出していないか
• 本体の弱点（WordPress のとき）その版に当てはまる弱点を WPVulnerability で照合
• 本体のかなり古い版（WordPress のとき）6.0 より前か
• 本体の最新との差（WordPress のとき）WordPress.org の最新の版と比べる
• プラグインの見つけ方: ページ（WordPress のとき）ページのファイルの場所 (/wp-content/plugins/名前/) と ?ver=
• プラグインの見つけ方: ログイン画面（WordPress のとき）ログイン画面に出ているプラグイン
• プラグインの見つけ方: REST API（WordPress のとき）REST API の入口に出る名前 (19種類)
• プラグインの弱点（WordPress のとき）その版に当てはまる弱点 (版の範囲・深刻度)
• 攻撃に使われている弱点 (KEV)（WordPress のとき）実際の攻撃で使われている弱点か
• まだ直っていない弱点（WordPress のとき）直った版が出ていない弱点か
• 配布停止と理由（WordPress のとき）WordPress.org で配布が止まっていないか (安全上の問題・規約違反など)
• プラグインの最新との差（WordPress のとき）公式の最新の版と比べる
• プラグインの放置（WordPress のとき）最後の更新が2年以上前か
• 公式の配布かどうか（WordPress のとき）有料・自作のプラグインか
• テーマの名前と版（WordPress のとき）style.css の見出しから読む (親子の最大2つ)
• テーマの弱点（WordPress のとき）WPVulnerability で照合
• テーマの最新との差（WordPress のとき）WordPress.org の最新の版と比べる
• テーマが公式の配布かどうか（WordPress のとき）オリジナル・有料のテーマか

ページに出ているエラー・壊れた読み込み・書き方の誤り

• PHP の止まるエラー (Fatal error)ページの文の中のエラーを探し、どのテーマ・プラグインの何行目かを特定
• PHP の書き方のエラー (Parse error)同じく
• PHP の警告 (Warning)同じく
• PHP の注意 (Notice)同じく
• PHP の古い書き方の警告 (Deprecated)同じく
• WordPress の「重大なエラー」の画面ページが止まっていないか
• データベース接続エラーページの中身が出ない状態になっていないか
• ほかのページの PHP のエラー最大12ページで同じ確認
• 読み込めない画像画像10枚が見つかるか (どのプラグイン・テーマのものか)
• 読み込めない CSSCSS 3本が見つかるか
• 読み込めないスクリプトスクリプト8本が見つかるか
• ページの種類の宣言 (DOCTYPE)今の宣言で始まっているか
• 文字コードの指定meta charset があるか
• 同じ id の重なり1ページに同じ id が2回以上ないか
• 使われなくなったタグfont・center・marquee など
• リンクの URL の記述ミスURL の二重・先頭の空白・崩れた http:/
• 行き先のないリンクhref が空のリンク
• 画像の場所が空の画像src が空の img
• HTML の検査: 画像の説明の抜けW3C (Web の標準を決める団体) の検査の結果を、種類ごとに数える
• HTML の検査: 必要な属性の抜け同じ
• HTML の検査: 必要な中身の抜け同じ
• HTML の検査: 閉じタグの余り同じ
• HTML の検査: 余分なタグ同じ
• HTML の検査: 閉じ忘れ同じ
• HTML の検査: 閉じタグの順番の誤り同じ
• HTML の検査: 同じ id の重複同じ
• HTML の検査: 同じ属性の重複同じ
• HTML の検査: 入れてはいけない場所のタグ同じ
• HTML の検査: 入れてはいけない場所の文字同じ
• HTML の検査: 使えない属性同じ
• HTML の検査: 値の書き方の誤り同じ
• HTML の検査: 属性の記述ミス同じ
• HTML の検査: 記述ミス同じ
• HTML の検査: 古い書き方同じ

トップと問い合わせのページのフォーム (送信はしない)

• フォームの仕組み（フォームがあるとき）Contact Form 7・MW WP Form・Snow Monkey Forms・WPForms など7種類と外のサービスを見分ける
• 送信先の暗号化（フォームがあるとき）送り先が https か
• 送信先が外のサービスか（フォームがあるとき）送り先のドメイン
• 送り方（フォームがあるとき）GET (URL に内容が載る) か POST か
• 迷惑メール対策（フォームがあるとき）reCAPTCHA・Turnstile・hCaptcha・Akismet・隠し欄の印
• 入力欄の名前 (ラベル)（フォームがあるとき）欄と、欄の名前が結び付いているか
• 必須の印（フォームがあるとき）required や「必須」の印
• メールアドレスの欄の種類（フォームがあるとき）type="email" か
• 電話番号の欄の種類（フォームがあるとき）type="tel" か
• 自動入力の手がかり（フォームがあるとき）autocomplete があるか
• 個人情報の扱いの案内（フォームがあるとき）フォームにプライバシーポリシーの案内・同意の欄があるか
• ファイルの添付の欄（フォームがあるとき）添付できる欄があるか (置き場所は詳細診断で)
• 外のフォームの埋め込みGoogle フォーム・formrun などの埋め込み

サーバーの応答・重さ・スマホでの見え方

• サーバーの応答の速さ最初の応答が届くまでの時間
• HTTP/2新しい通信の方式で届くか
• HTTP/3さらに新しい方式にも対応しているか
• 圧縮20KB を超えるページが圧縮されて届くか
• 画像の重さ画像10枚の実際の大きさ
• ページ全体の重さHTML と調べた部品の合計
• HTML の大きさHTML だけの大きさ
• HTML に埋め込んだ画像文字にして埋め込んだ画像の合計
• 画像の形式WebP・AVIF を使っているか
• 画像の縦横の大きさの指定width と height があるか
• 後から読み込む設定loading="lazy" があるか
• 矛盾した読み込みの指定「先に読む」と「後から読む」の両方が付いた画像
• キャッシュの設定部品にブラウザにとっておかせる設定があるか
• 読み込むファイルの数CSS とスクリプトの本数
• 表示を止めるスクリプトページの頭で、待たせて読むスクリプトの本数
• Web フォントの数Google Fonts の種類と、日本語のフォントの太さの数
• jQuery の二重読み込み同じ jQuery を2回読んでいないか
• WordPress の絵文字の読み込み（WordPress のとき）絵文字を画像で出すスクリプト
• 動画・地図の埋め込みYouTube・Google マップを最初から読んでいないか
• スマホ向けの設定 (viewport)スマホの画面に合わせる設定があるか
• スマホでの拡大指で広げる拡大を禁止していないか
• アクセスの制限の強さ調べている間に「混み合っています」で断られた回数

Google などの検索に、正しく載って選ばれるか

• タイトルの有無トップの title
• タイトルの長さ後ろが切れない長さか
• タイトルの短さ何のサイトか伝わる長さか
• 説明文の有無meta description
• 説明文の長さ短すぎ・長すぎでないか
• 検索に載せない設定 (noindex)トップに公開前の設定が残っていないか
• リンクをたどらせない設定 (nofollow)トップに nofollow がないか
• 古いキーワードの指定meta keywords が残っていないか
• ページの言語 (lang)html に言語の指定があるか
• 大見出し (h1) の有無h1 があるか
• 大見出し (h1) の数1つだけか
• 見出しの段の飛びh2 → h4 のように飛んでいないか
• 中見出し (h2)文章を区切る h2 があるか
• 正式な URL (canonical) の有無canonical があるか
• 正式な URL がトップ自身かほかのページを指していないか
• 正式な URL が https かhttp を指していないか
• SNS の表示: タイトルog:title
• SNS の表示: 画像og:image
• SNS の表示: 説明og:description
• SNS の表示: URLog:url
• SNS の表示: X の形twitter:card
• 画像の説明 (alt)alt のない画像の数
• robots.txt の有無あるか
• robots.txt で検索を断っていないかすべての検索エンジンを断る設定
• robots.txt のサイトマップの行Sitemap: の行があるか
• robots.txt で見た目のファイルを塞いでいないかCSS・JS の置き場所を塞いでいないか
• サイトマップの有無robots.txt・/sitemap.xml・/wp-sitemap.xml
• 使われていない古いサイトマップrobots.txt と別の sitemap.xml が残っていないか
• サイトマップの鮮度いちばん新しい更新日
• 存在しないページの答え方でたらめな URL が「ない (404)」と答えるか
• リンク切れトップからのリンク8本を開く
• サイトの中の http のリンクhttps のサイトで http:// の自分へのリンク
• サイトの中へのリンクの数トップからのリンクが少なすぎないか
• ほかの言語のページの結び付け言語版があるとき hreflang があるか
• www あり・なし: 証明書もう片方の名前で証明書のエラーにならないか
• www あり・なし: 開けるかもう片方の名前で開けるか
• www あり・なし: 1つにまとまっているか転送でまとまっているか
• 海外から開けるか海外の3か所からトップを開く (検索のロボットは主にアメリカから)
• ほかのページ: 開けるかサイトマップから種類ごとに最大12ページ
• ほかのページ: 転送される URLサイトマップに転送される URL がないか
• ほかのページ: 載せない設定サイトマップにあるのに noindex
• ほかのページ: 正式な URL がトップcanonical がトップを指していないか
• ほかのページ: 正式な URL がほかcanonical が別のページを指していないか
• ほかのページ: タイトルの有無タイトルのないページ
• ほかのページ: 同じタイトル同じタイトルのページ
• ほかのページ: 同じ説明文同じ説明文のページ
• ほかのページ: 大見出しh1 のないページ
• ほかのページ: 見本のページの残りHello world!・サンプルページ
• ほかのページ: パンくずページの場所を示す道しるべ
• ほかのページ: 画像の説明alt のない画像のあるページ
• ほかのページ: 英語のページの言語/en/ のページの lang が en か

ChatGPT・Perplexity・Google の AI の回答に、このサイトが使われるか

• 構造化データの有無JSON-LD を読み、型を並べる
• 構造化データの書き方の誤りJSON として読めるか
• 会社の情報: 名前Organization の name
• 会社の情報: URLOrganization の url
• 会社の情報: ロゴOrganization の logo
• 会社の情報: 同じ会社のページSNS などの sameAs
• お店・事務所の情報: 住所LocalBusiness の address
• お店・事務所の情報: 電話LocalBusiness の telephone
• お店・事務所の情報: 地図の位置LocalBusiness の geo
• お店・事務所の情報: 営業時間openingHours
• 業種に合った型お店・事務所なのに Organization だけでないか
• よくある質問 (FAQPage)トップと最大12ページに FAQPage があるか
• 記事の書き手記事の構造化データに author があるか
• 記事の日付記事の構造化データに datePublished があるか
• AI のクローラーの拒否: GPTBotrobots.txt で断っていないか
• AI のクローラーの拒否: OAI-SearchBot同じ
• AI のクローラーの拒否: ClaudeBot同じ
• AI のクローラーの拒否: PerplexityBot同じ
• AI のクローラーの拒否: Google-Extended同じ
• AI のロボットとして開く: ChatGPT の検索OAI-SearchBot の名前で開いて断られないか (Cloudflare などの設定)
• AI のロボットとして開く: ChatGPTGPTBot の名前で開いて断られないか
• AI 向けの案内 (llms.txt)/llms.txt に中身があるか
• 文章の量トップの本文の文字数

見る人と検索に、信頼できる会社と伝わるか

• 電話番号が文字で載っているかtel: のリンクか電話番号の形
• 住所が文字で載っているか都道府県・市区町村の形
• 住所と電話の構造化データaddress・telephone が JSON-LD にあるか
• 電話をタップしてかけられるか電話番号が tel: のリンクか
• メールアドレスの載せ方アドレスがそのまま書かれていないか (表示はしない)
• 営業時間・受付時間書かれているか
• 地図Google マップなどへのリンク・表示があるか
• プライバシーポリシートップからリンクがあるか
• 会社・事務所の紹介のページ会社概要・私たちについて などへのリンク
• 特定商取引法の表記（ネットで売るとき）ネットで売るサイトで表記へのリンクがあるか
• SNS へのリンクInstagram・X・Facebook・LINE・YouTube など8種類
• タブのアイコン (ファビコン)link rel="icon" か /favicon.ico
• スマホのホーム画面のアイコンapple-touch-icon
• ページが見つからないときの画面サイトの見た目の 404 の画面か
• 書きかけの文○○・ダミー・テキストが入ります などの仮の文
• フッターの年© の年が古いままでないか
• 問い合わせのページお問い合わせ・ご相談へのリンク
• アクセス解析 (GA4)G- の測定 ID
• タグマネージャーGTM- のコンテナ
• 古いアクセス解析 (UA)計測の止まった UA だけになっていないか
• アクセス解析の二重の設置同じ測定 ID が2回入っていないか
• Search Console の確認の印google-site-verification
• ドメインの期限.jp は JPRS の whois、ほかは RDAP

問い合わせの通知や返信が、迷惑メールに入らず届くか

• 送信元の証明 (SPF) の有無ドメインの SPF
• SPF の重複SPF が2つ以上ないか
• SPF の「誰でも OK」最後が +all でないか
• SPF の参照の回数include などをたどって DNS を引く回数
• SPF の強さ最後が ~all (ゆるい) か -all か
• サイトのサーバーが SPF に入っているか許している送信元を最大6段たどり、サーバーの IP を探す
• なりすまし対策 (DMARC) の有無_dmarc の設定
• DMARC の強さnone・quarantine・reject
• DMARC の報告の宛先rua があるか
• DMARC の割合pct が 100 か
• メールの電子署名 (DKIM)よく使われる8つの名前で鍵を探す
• メールの受け取り (MX)MX の設定があるか
• 受け取り先のサーバーの実在MX に書かれたサーバーが DNS にあるか
• メールの暗号化の強制 (MTA-STS)_mta-sts の設定があるか

サイトの中から、版・設定・ファイルを読む

• PHP のサポート

  理由

  サポートが終わった PHP は、新しい弱点が見つかっても直してもらえません。

  危険

  知られた弱点を突かれて、サイトを書き換えられたり乗っ取られたりするおそれがあります。

• PHP の重大な弱点の修正

  理由

  2026年10月に、外から悪用できる重大な弱点が PHP で見つかっています。

  危険

  修正前の版のままだと、外から命令を送り込まれ、サーバーを操られるおそれがあります。

• PHP のサポートの残り

  理由

  半年以内にサポートが終わる版は、早めに上げる準備が要ります。

  危険

  気づかないまま期限を過ぎると、弱点が直らない状態で動き続けることになります。

• エラーを画面に出す設定 (WordPress)

  理由

  作っている間に使う「エラーを画面に出す」設定が、公開後も ON のままのことがあります。

  危険

  エラーの文にファイルの場所やプラグインの名前が出て、攻撃の手がかりを教えてしまいます。

• エラーを画面に出す設定 (PHP)

  理由

  WordPress 側で止めていても、サーバーの PHP の設定でエラーが出ることがあります。

  危険

  同じく、サーバーの中の情報が画面に出て、攻撃の下調べに使われます。

• 開発用の設定の残り

  理由

  作ったときの開発用の設定が、そのまま残っていることがよくあります。

  危険

  エラーが出続けて、サイトが重くなったり、中の情報が漏れたりします。

• エラーの記録が外から読めるか

  理由

  エラーの記録 (debug.log) は、置き場所によっては URL を知っていれば誰でも開けます。

  危険

  サーバーの中の場所やプラグインの名前、ときには入力された内容まで、誰でも読めてしまいます。

• データベースの版

  理由

  データベースも古い版は手入れが終わり、速さや安全の改善が入りません。

  危険

  すぐに危ないことは少ないものの、サーバーの引っ越しや WordPress の更新で動かなくなることがあります。

• 本体の弱点

  理由

  WordPress 本体にも弱点が見つかり、版ごとに公開の記録に載ります。

  危険

  記録に載った弱点は誰でも調べられるため、古い版のサイトはロボットに探されて狙われます。

• 本体の最新との差

  理由

  最新から離れるほど、直っていない不具合や弱点が増えていきます。

  危険

  差が大きいほど、まとめて上げたときに表示が崩れたり動かなくなったりしやすくなります。

• 本体の自動更新

  理由

  本体のセキュリティの修正は自動で入るのが初期の設定ですが、止められていることがあります。

  危険

  止めたままだと、修正が出ても入らず、穴が開いたままになります。

• 本体のファイル: 中身の違い

  理由

  本体のファイルは公式の記録と一字一句同じはずなので、違えば書き換えられた疑いがあります。

  危険

  書き換えがあれば、すでに侵入されて悪いプログラムを仕込まれているおそれがあります。

• 本体のファイル: 足りないファイル

  理由

  更新の失敗や作業のミスで、本体のファイルが欠けていることがあります。

  危険

  管理画面の一部や更新が動かないなど、不具合のもとになります。

• 本体のファイル: 公式にないファイル

  理由

  本体の場所に公式にないファイルがあれば、外から置かれたものかもしれません。

  危険

  攻撃者が置く裏口 (いつでも入り直せる入口) のプログラムであることがあります。

• サイトの URL の https

  理由

  WordPress に登録したサイトの URL が、http のままになっていることがあります。

  危険

  「保護されていない通信」と表示されたり、ログインの情報や入力された内容を盗み見られたりします。

• 管理画面の https の固定

  理由

  管理画面だけは必ず暗号化して使うよう、設定で決めておけます。

  危険

  設定がないと、条件によってはログインのパスワードが暗号化されずに送られます。

停止中のものも含めて、入っている全部を1つずつ

• 全部の一覧

  理由

  何が入っているかを1つずつ書き出さないと、弱点も古さも照らし合わせられません。

  危険

  把握していないプラグインが残っていると、弱点が見つかっても誰も気づけません。

• 有効なプラグインの弱点

  理由

  WordPress のサイトが侵入される入口で、いちばん多いのがプラグインの弱点です。

  危険

  弱点のある版を使い続けると、改ざん・乗っ取り・お客様の情報の流出につながります。

• 停止中のプラグインの弱点

  理由

  止めていてもファイルが残っていれば、直接呼び出されて弱点を突かれることがあります。

  危険

  使っていないはずのプラグインが、侵入の入口になります。

• 攻撃に使われている弱点 (KEV)

  理由

  弱点の中でも、実際の攻撃で使われていると確認されたものは、別に記録されています。

  危険

  すでに攻撃の道具が出回っていて、いつ狙われてもおかしくない状態です。最優先で直します。

• まだ直っていない弱点

  理由

  作者が直した版を出していない弱点は、更新しても消えません。

  危険

  待っていても直らず、別のプラグインに差し替えるまで穴が開いたままです。

• 配布停止 (安全上の理由)

  理由

  WordPress.org は、危ない弱点が見つかったプラグインの配布を止めることがあります。

  危険

  配布が止まると更新も届かず、弱点を抱えたまま放置されることになります。

• 配布停止 (そのほかの理由)

  理由

  作者の都合や規約違反でも配布は止まり、その後の手入れは期待できません。

  危険

  今は動いていても、この先の WordPress や PHP の更新で動かなくなるおそれがあります。

• 更新の遅れ

  理由

  更新には弱点の修正が含まれていることが多く、遅れるほど危なくなります。

  危険

  修正の内容は公開されるため、更新していないサイトほど狙われやすくなります。

• プラグインごとの自動更新

  理由

  自動更新が ON なら、弱点の修正が出たその日に入ります。

  危険

  OFF のままだと、誰かが気づいて更新するまでの間、無防備です。

• 2年以上の放置

  理由

  2年以上更新がないプラグインは、作者が手入れをやめていることが多いです。

  危険

  弱点が見つかっても直らず、新しい WordPress や PHP で動かなくなることがあります。

• 必要な PHP (今の版)

  理由

  プラグインが求める PHP の版より、サーバーの版が古いことがあります。

  危険

  エラーで画面が真っ白になるなど、サイトが止まるもとになります。

• 必要な PHP (最新に上げるとき)

  理由

  最新の版に上げるとき、サーバーの PHP も上げる必要があるかを先に確かめます。

  危険

  知らずに上げると、更新した途端にサイトが止まることがあります。

• 役割の重なり: SEO

  理由

  同じ役目のプラグインが2つ動くと、ページに同じ情報を二重に書き出します。

  危険

  タイトルや説明文が二重になり、検索結果での見え方が崩れたり、評価が下がったりします。

• 役割の重なり: キャッシュ

  理由

  表示を速くする仕組み (キャッシュ) が2つあると、互いに邪魔をします。

  危険

  更新したのに古いページが出続ける、表示が崩れるなどの不具合が起きます。

• 役割の重なり: セキュリティ

  理由

  守りのプラグインは重ねても強くならず、ぶつかり合います。

  危険

  自分が管理画面に入れなくなる、守りの設定が正しく効かない、などが起きます。

• 役割の重なり: バックアップ

  理由

  バックアップが2本動くと、サーバーに大きな負担がかかります。

  危険

  サイトが重くなるうえ、いざというとき、どれが使えるバックアップか分からなくなります。

• 役割の重なり: フォーム

  理由

  フォームの仕組みが2つ以上あると、どれが使われているか分かりにくくなります。

  危険

  使っていない方の手入れが漏れ、古いフォームが迷惑メールや攻撃の入口になります。

• 役割の重なり: 画像の圧縮

  理由

  画像を小さくする処理が、二重にかかることがあります。

  危険

  画像が必要以上に荒れるほか、アップロードが遅くなったり失敗したりします。

• 役割の重なり: メールの送信

  理由

  メールの送り方を決めるプラグインが2つあると、どちらの設定が使われるかが不安定です。

  危険

  問い合わせのお知らせのメールが届かないことがあります。

• 役割の重なり: ログインの守り

  理由

  ログインを守る仕組みが重なると、ログインの処理がぶつかります。

  危険

  正しいパスワードでもログインできなくなることがあります。

• 役割の重なり: サイトマップ

  理由

  サイトマップ (検索エンジンに渡すページの一覧) が、2つ作られることがあります。

  危険

  検索エンジンがどちらを読むか迷い、新しいページが検索に載るのが遅れます。

• 役割の重なり: 多言語

  理由

  多言語の仕組みが2つあると、言語の切り替えと URL が二重になります。

  危険

  同じページが二重にでき、検索の評価が分かれます。表示も崩れやすくなります。

• 停止中のプラグイン

  理由

  使っていないプラグインも、ファイルが残っている限り手入れが要ります。

  危険

  更新されないまま放っておかれ、気づかないうちに侵入の入口になります。

• 使っていないテーマ

  理由

  使っていないテーマも、ファイルは公開の場所に残っています。

  危険

  古いテーマの弱点を突かれて、使っていないのに侵入されることがあります。

• プラグインのファイルの改ざん

  理由

  公式に配られているプラグインは、公式の記録とファイルを照らし合わせられます。

  危険

  違いがあれば、悪いプログラムを仕込まれているおそれがあります。

• テーマの弱点

  理由

  テーマにも弱点が見つかり、公開の記録に載ります。

  危険

  テーマはすべてのページで動くため、弱点の影響がサイト全体に及びます。

使っているテーマ・親テーマ・公式でない有効なプラグインの PHP を全部

• 記述ミス: 使っているテーマ

  理由

  テーマのプログラムに書き間違いがあると、特定のページだけ壊れることがあります。

  危険

  そのページを開いた瞬間に画面が真っ白になる、エラーが出るなど、お客様の目に触れます。

• 記述ミス: 親テーマ

  理由

  子テーマを使っている場合、土台の親テーマも一緒に動いています。

  危険

  親テーマの誤りは、子テーマで作ったすべてのページに響きます。

• 記述ミス: 公式でない有効なプラグイン

  理由

  制作会社が作ったプラグインや有料のプラグインは、公式の審査を通っていません。

  危険

  誤りがあるとサイト全体が止まることがあり、更新で直る保証もありません。

• 記述ミス: 停止中のテーマ・自作のプラグイン

  理由

  今は止めていても、切り替えたときに動き出すファイルです。

  危険

  何かのときに有効にした途端、サイトが止まることがあります。

• 今の PHP で消えた関数・書き方

  理由

  PHP 8 で使えなくなった書き方が、古いテーマに残っていることがあります。

  危険

  その部分を通るとエラーで止まり、ページや機能が使えなくなります。

• 次の PHP で動かなくなる書き方

  理由

  次の版の PHP で使えなくなる書き方を、前もって見つけておきます。

  危険

  サーバー会社が PHP を上げた日に、突然サイトが動かなくなるおそれがあります。

• WordPress で使わなくなった関数

  理由

  WordPress が「もう使わないで」とした古い関数は、いずれ消されます。

  危険

  すぐには壊れませんが、この先の更新で動かなくなることがあります。

使っているテーマと親テーマの PHP・JS・CSS を1ファイル1行の表に

• どのページに使われるか

  理由

  どのファイルがどのページを表示しているかが分かると、問題の場所をすぐに特定できます。

  危険

  これが分からないまま直すと、1か所のつもりで別のページを壊すことがあります。

• ファイルの無いページテンプレート

  理由

  固定ページに指定したひな形のファイルが、消えていることがあります。

  危険

  意図しない見た目でページが表示され、レイアウトが崩れます。

• 使われていないテンプレート

  理由

  どこにも使われていないファイルは、整理の候補です。

  危険

  手入れされずに残り、古い書き方や弱点を抱えたままになります。

• 部品と読み込みのたどり

  理由

  ヘッダー・フッターなどの部品と、読み込む JS・CSS のつながりを地図にします。

  危険

  つながりが分からないと、直したつもりが別の場所に効いていないことがあります。

• ファイルの頭の余計な印 (BOM)

  理由

  編集の道具によっては、ファイルの頭に目に見えない印が入ります。

  危険

  警告が出るほか、ログインや転送が効かない不具合のもとになります。

• 閉じタグの後ろの空白

  理由

  プログラムの終わりの印 (?>) の後ろの空白や改行も、同じ不具合のもとです。

  危険

  ページの上に謎の余白が出る、ログインや転送が失敗することがあります。

• 短い開始タグ

  理由

  古い書き方 (<?) は、サーバーの設定によっては動きません。

  危険

  動かない設定では、プログラムの中身がそのまま画面に出てしまいます。

• 文字コード

  理由

  Shift_JIS などで保存されたファイルが混ざっていることがあります。

  危険

  日本語が文字化けして読めなくなります。

• wp_head の呼び忘れ

  理由

  プラグインや解析のタグは、ページの頭に決まった呼び出しがあることを前提に動きます。

  危険

  アクセス解析・SEO の設定・広告の計測が動かず、数字が取れていないことにも気づけません。

• wp_footer の呼び忘れ

  理由

  ページの終わりの決まった呼び出しも、多くのプラグインが前提にしています。

  危険

  フォームの送信や画像認証、計測のタグが動かないことがあります。

• body_class の呼び忘れ

  理由

  ページの種類ごとに見た目を切り替える目印を、本文の箱に付ける決まりです。

  危険

  ページごとのデザインの切り替えやプラグインの見た目が効かないことがあります。

• wp_body_open の呼び忘れ

  理由

  タグマネージャーなどは、本文の始まりに入れる場所を必要とします。

  危険

  計測のタグの一部が入らず、数字が欠けることがあります。

• スクリプト・CSS の直書き

  理由

  WordPress には読み込みをまとめて管理する決まった方法があり、直書きはそれを通りません。

  危険

  同じ部品が二重に読まれて重くなる、プラグインとぶつかるなどが起きます。

• テーマが独自に読む古い jQuery

  理由

  本体とは別に、テーマが古い jQuery (動きを付ける部品) を読み込んでいることがあります。

  危険

  古い部品には知られた弱点があり、本体の版ともぶつかって動きが壊れます。

• 直書きの http の URL

  理由

  テンプレートに http:// の URL が書かれたままのことがあります。

  危険

  「保護されていない通信」の警告が出たり、画像や部品が読み込まれなかったりします。

• 古いドメイン・試験サイトの URL

  理由

  作ったときの試験用のサイトや、昔のドメインの URL が残っていることがあります。

  危険

  リンク切れのほか、他人の手に渡った古いドメインへお客様を案内してしまうことがあります。

• 絶対パスの直書き

  理由

  サーバーの中のフォルダの場所が、プログラムに直接書かれていることがあります。

  危険

  サーバーの引っ越しやプランの変更で、サイトが動かなくなります。

• 参照先のファイルの実在

  理由

  テンプレートが指している画像・CSS・JS が、実際にあるかを確かめます。

  危険

  画像が欠ける・デザインが崩れるほか、無いファイルを探しに行くぶん表示も遅くなります。

• 安全でない書き方: 出力の無害化

  理由

  画面に文字を出す前に、危ない記号を無害にしておく決まりがあります。

  危険

  漏れていると、悪いスクリプトを埋め込まれ、見に来た人や管理者が被害に遭うことがあります。

• 安全でない書き方: 入力の確認

  理由

  フォームや URL から来る値は、確かめてから使うのが決まりです。

  危険

  確かめずに使うと、想定外の値を送り込まれ、データを書き換えられることがあります。

• 安全でない書き方: 合い言葉 (nonce)

  理由

  大事な操作には、本人の画面から来たことを確かめる合い言葉を付けます。

  危険

  無いと、管理者が罠のページを開いただけで設定の変更や削除を勝手に実行されることがあります。

• 安全でない書き方: 権限の確認

  理由

  管理者だけができる操作では、操作した人の権限を確かめる必要があります。

  危険

  漏れていると、誰でも管理者向けの操作ができてしまいます。

• 安全でない書き方: データベースの問い合わせ

  理由

  データベースへの命令を組み立てるときは、外から来た値を安全に埋め込む決まりがあります。

  危険

  漏れていると、会員の情報や問い合わせの内容を抜き取られることがあります。

• jQuery 3 で動かない書き方

  理由

  WordPress の jQuery は新しい版になり、古い書き方が使えなくなりました。

  危険

  メニューの開け閉めやスライダーなどの動きが止まることがあります。

• タイトルの出し方

  理由

  ページのタイトルは、WordPress の決まった仕組みで出すのが今のやり方です。

  危険

  古い出し方だと、SEO のプラグインで決めたタイトルが反映されません。

• 説明文の直書き

  理由

  検索結果に出る説明文が、テンプレートに1つだけ書かれていることがあります。

  危険

  全ページが同じ説明文になり、検索結果でページの違いが伝わりません。

• 大見出しが複数になる作り

  理由

  ロゴと本文の両方を大見出し (h1) にしている作りがあります。

  危険

  ページが何について書いたものか、検索エンジンに伝わりにくくなります。

• テンプレートの画像の説明

  理由

  画像には、内容を言葉で伝える説明 (alt) を付けます。

  危険

  目の不自由な方の読み上げで内容が伝わらず、画像検索にも載りにくくなります。

• 構造化データの直書き

  理由

  検索エンジン向けの情報 (構造化データ) が、全ページ同じ内容で書かれていることがあります。

  危険

  ページと合わない情報になり、検索エンジンに誤った内容が伝わります。

• ネットショップの上書きの古さ（ネットで売るとき）

  理由

  WooCommerce の画面を作り替えた部分は、本体が更新されても古いままです。

  危険

  カートや注文の画面が崩れたり動かなかったりして、売り上げに直結します。

• テンプレートごと: JS のエラー

  理由

  ページの種類ごとに実際にスマホの幅で開き、動きのエラーを拾います。

  危険

  ボタンやメニュー、フォームが反応しないことがあります。

• テンプレートごと: 読み込めないファイル

  理由

  開いたときに見つからない画像や部品と、それを指しているファイルを突き止めます。

  危険

  画像が欠ける・デザインが崩れるほか、表示も遅くなります。

• テンプレートごと: 横のはみ出し

  理由

  スマホで横にはみ出すと、画面が左右に揺れて読みにくくなります。

  危険

  スマホで見るお客様が読みづらく、すぐに離れてしまいます。

• テンプレートごと: 画面に出た PHP のエラー

  理由

  特定のページでだけ出るエラーは、管理者が気づきにくいものです。

  危険

  エラーの文がお客様に見え、サーバーの中の情報も漏れます。

• テンプレートごと: 大見出しの数

  理由

  実際の画面で、大見出しがいくつあるかを数えます。

  危険

  0 や複数だと、ページの主題が検索エンジンに伝わりにくくなります。

プラグインごとに多い設定の誤りと、公開の場所に残りがちなファイル (設定の名前は実際のコードで確認)

• フォーム: 送り主 (From)

  理由

  送り主のアドレスがサイトと合っていないと、受け取る側で「なりすまし」と見なされます。

  危険

  問い合わせのお知らせや自動返信が迷惑メールに入る、届かないことがあります。

• フォーム: 送り先

  理由

  管理者に届く宛先が空だったり、使っていないアドレスだったりすることがあります。

  危険

  お客様の問い合わせが誰にも届かず、取りこぼします。

• フォーム: 送信を止める設定

  理由

  試しに作ったときの「メールを送らない」設定が、残っていることがあります。

  危険

  画面には「送信しました」と出るのに、メールが1通も送られていません。

• フォーム: 迷惑メール対策

  理由

  対策のないフォームには、ロボットが自動で送信してきます。

  危険

  迷惑メールが大量に届き、本物の問い合わせが埋もれます。

• フォーム: 自動返信

  理由

  送ったお客様に「受け付けました」のメールが届くかを確かめます。

  危険

  届かないと、お客様は送れたか不安になり、何度も送ったり他社に移ったりします。

• フォーム: ファイルの添付

  理由

  添付されたファイルは、サーバーの一時置き場に保存されます。

  危険

  置き場が外から読めると、お客様が送った書類や写真を他人に見られます。

• フォーム: 同意の欄

  理由

  個人情報を受け取るときは、取り扱いへの同意をもらっておくと安心です。

  危険

  個人情報の扱いをめぐって、お客様とのトラブルのもとになります。

• フォーム: 問い合わせの記録

  理由

  メールとは別に、問い合わせの内容をサイトに残しているかを確かめます。

  危険

  残していないと、メールが届かなかったときに問い合わせを取り戻せません。

• フォーム: Contact Form 7 の警告

  理由

  フォームの設定に問題があると、Contact Form 7 自身が警告を残します。

  危険

  放っておくと、メールが届かない・迷惑メールに入る原因がそのまま残ります。

• フォーム: MW WP Form の開発の状況

  理由

  長く使われてきたフォームですが、手入れが続いているか、今後の予定を確かめます。

  危険

  手入れが止まると弱点が見つかっても直らず、いずれ乗り換えが必要になります。

• SEO: 表示設定の「検索エンジンに表示しない」

  理由

  作っている間に入れた「検索エンジンに表示しない」が、公開後も残っていることがあります。

  危険

  Google などの検索結果にサイトが出てきません。

• SEO: プラグインのサイト全体の noindex

  理由

  SEO のプラグインにも、サイト全体を検索から外す設定があります。

  危険

  同じく、サイト全体が検索結果から消えます。

• SEO: トップページの noindex

  理由

  トップページだけが「検索に載せない」になっていることがあります。

  危険

  会社名やお店の名前で検索しても、トップページが出てきません。

• SEO: サイトマップ

  理由

  サイトマップは、検索エンジンにページの一覧を渡すためのものです。

  危険

  無いと、新しいページや奥のページが検索に載るまで時間がかかります。

• SEO: 添付ファイルのページ

  理由

  WordPress は画像1枚ごとに、中身の薄いページを作ることがあります。

  危険

  検索に載ると、薄いページが増えてサイト全体の評価が下がります。

• SEO: 投稿者の一覧

  理由

  投稿者ごとのページは、少人数で運営するサイトでは要らないことが多いです。

  危険

  中身が重なるうえ、URL にログイン ID が出て、攻撃の手がかりになります。

• SEO: タグの一覧

  理由

  タグごとの一覧ページは、内容がほかのページと重なりがちです。

  危険

  似たページが増えて、検索の評価が分散します。

• SEO: 日付の一覧

  理由

  月ごとの一覧ページも、内容がほかのページと重なります。

  危険

  同じく、似たページが増えて評価が分散します。

• SEO: トップの説明文

  理由

  検索結果でサイト名の下に出る説明文を、トップページに設定しているかを見ます。

  危険

  空だと、検索エンジンが本文の一部を勝手に抜き出し、伝えたいことが伝わりません。

• キャッシュ: ログイン中の人への表示

  理由

  表示を速くする仕組みが、ログイン中の人のページまで保存してしまうことがあります。

  危険

  ほかの人に、ログイン中の人の画面や個人情報が見えてしまうことがあります。

• キャッシュ: 有効なのに動いていない

  理由

  プラグインを入れていても、設定が欠けて実際には効いていないことがあります。

  危険

  速くするつもりの仕組みが効かず、表示が遅いままです。

• キャッシュ: 対応するサーバーか

  理由

  LiteSpeed Cache は、LiteSpeed という種類のサーバーで力を発揮します。

  危険

  合わないサーバーでは主な機能が働かず、入れている意味がほとんどありません。

• キャッシュ: CSS・JS の最適化

  理由

  CSS や JS をまとめて小さくすると、表示が速くなります。

  危険

  していないと、特にスマホで表示が遅く、お客様が待たずに離れます。

• キャッシュ: 実際に効いているか

  理由

  同じページを2回開き、保存された速い表示が返ってくるかを外から確かめます。

  危険

  効いていないと、アクセスが集まったときにサイトが重くなり、つながらなくなることがあります。

• バックアップ: 保存先

  理由

  バックアップが、サイトと同じサーバーの中にしかないことがあります。

  危険

  サーバーの故障や乗っ取りのときに、バックアップごと失って元に戻せません。

• バックアップ: 置き場所の守り

  理由

  バックアップのファイルには、サイトの中身がすべて入っています。

  危険

  外から読めると、サイトの中身もデータベースの情報も丸ごと持ち出されます。

• バックアップ: ジョブ

  理由

  BackWPup は、バックアップの予定 (ジョブ) を作らないと何もしません。

  危険

  入れて安心していても、実はバックアップが1つも取れていないことがあります。

• 残りがちなファイル: 移行の道具

  理由

  引っ越しの道具 (installer.php など) は、作業のあとに消し忘れがちです。

  危険

  残っていると、他人にサイトを上書きされたり、乗っ取られたりするおそれがあります。

• 残りがちなファイル: 書き出し

  理由

  サイトを丸ごと書き出したファイルが、公開の場所に残っていることがあります。

  危険

  URL で開けると、サイトの中身を丸ごと持ち出されます。

• 残りがちなファイル: データベースの書き出し

  理由

  データベースを書き出したファイル (.sql) が、残っていることがあります。

  危険

  お客様の情報や管理者のログインの情報が流出します。

• 残りがちなファイル: 調査・管理の道具

  理由

  作業で使った調査や管理の道具 (adminer など) が、残っていることがあります。

  危険

  データベースを外から操作されたり、サーバーの設定を丸見えにされたりします。

• 残りがちなファイル: 移行の記録

  理由

  引っ越しの道具が残す作業の記録には、サーバーの情報が書かれています。

  危険

  サーバーの中の場所や設定が知られ、攻撃の下調べに使われます。

• セキュリティの通知: 管理者のメールアドレス

  理由

  WordPress からの大事なお知らせは、管理者のメールアドレスに届きます。

  危険

  届かないアドレスだと、異常や更新のお知らせに誰も気づけません。

• セキュリティの通知: ログインの通知

  理由

  管理画面にログインがあったときに、メールで知らせる設定です。

  危険

  OFF だと、他人にログインされても気づけません。

• セキュリティの通知: 更新の通知

  理由

  プラグインなどに更新が出たときの知らせが、きちんと届くかを見ます。

  危険

  届かないと、弱点の修正が出ても更新が後回しになります。

• セキュリティの通知: 通知の宛先

  理由

  Wordfence の警告の宛先が、空になっていることがあります。

  危険

  攻撃や改ざんを見つけても、誰にも知らせが届きません。

• セキュリティの通知: 定期スキャン

  理由

  Wordfence が最後に点検した日を見て、点検が止まっていないかを確かめます。

  危険

  止まっていると、入れていても改ざんを見つけられない状態です。

• セキュリティの通知: ロックアウトの通知

  理由

  ログインの失敗が続いて締め出したときに、知らせる設定です。

  危険

  OFF だと、パスワードを狙われていることに気づけません。

• セキュリティの通知: ファイルの変更の検知

  理由

  ファイルが書き換えられたら知らせる機能が、動いているかを見ます。

  危険

  止まっていると、改ざんされても気づくのが遅れます。

• Akismet のキー

  理由

  Akismet は、キーを設定して初めて迷惑なコメントを止めます。

  危険

  キーがないと、迷惑なコメントや送信がそのまま通ります。

• Jetpack

  理由

  Jetpack は WordPress.com とつながって初めて、多くの機能が動きます。

  危険

  つながっていないと機能せず、サイトを重くするだけです。

• Really Simple SSL

  理由

  https への切り替えをこのプラグインに頼っている場合、設定と動きを確かめます。

  危険

  外し方を誤ると、https が崩れて「保護されていない通信」の警告が出ることがあります。

• 管理画面からファイルを操作できるプラグイン

  理由

  管理画面からサーバーのファイルを触れるプラグインは、過去に大きな攻撃の入口になりました。

  危険

  弱点やログインの乗っ取りがあると、サーバーのファイルを自由に書き換えられます。

• 過去に攻撃の入口になったファイル

  理由

  プラグインを止めても、攻撃に使われたファイル (connector など) が残ることがあります。

  危険

  残っていると、ログインなしでファイルを置かれ、乗っ取られるおそれがあります。

• Broken Link Checker の仕組み

  理由

  リンク切れを探すこのプラグインは、古い仕組みだとサーバーの中でずっと動き続けます。

  危険

  サーバーに負担がかかり、サイト全体が遅くなります。

• Redirection の記録

  理由

  転送のプラグインは、訪れた人の記録 (IP など) を残すことがあります。

  危険

  記録が溜まり続けてデータベースが重くなるうえ、個人の情報を必要以上に持つことになります。

• Instagram Feed のつながり

  理由

  Instagram の投稿を表示するつながりは、期限が切れることがあります。

  危険

  切れると、サイトの Instagram の欄が空白やエラーの表示になります。

• Classic Editor・Classic Widgets・WP Multibyte Patch

  理由

  古い編集画面に戻すプラグインなどが、今も必要かを確かめます。

  危険

  要らないまま残すと、この先の WordPress の更新で使えなくなったときに困ります。

• 停止中のプラグイン (削除の候補)

  理由

  止めたままのプラグインを弱点や配布停止と照らし合わせ、消してよいかを決めます。

  危険

  残しておくと、使っていないのに侵入の入口になることがあります。

エラーのファイルの最後の部分を読み、どこで何回出ているかをまとめる

• debug.log

  理由

  WordPress のエラーの記録には、気づかれていない不具合が残っています。

  危険

  見ないままだと、お客様の画面で起きている不具合に気づけません。

• PHP の error_log

  理由

  WordPress の外で起きた PHP のエラーは、別の記録に残ります。

  危険

  同じく、裏で起きているエラーを見落とします。

• サーバーのログ

  理由

  サーバーが残すエラーの記録からは、サイトの外側の問題も分かります。

  危険

  サーバー側の不具合や攻撃の跡を見落とします。

• 止まるエラー (Fatal)

  理由

  処理がそこで止まってしまう、いちばん重いエラーです。

  危険

  起きたときはページが真っ白になったり、注文や送信が途中で止まったりします。

• 警告 (Warning) の多さ

  理由

  止まりはしないものの、正しく動いていないことを示すエラーです。

  危険

  多いとサイトが重くなり、記録のファイルがサーバーの容量も圧迫します。

• 注意・古い書き方 (Notice・Deprecated)

  理由

  今は動いていても、この先の更新で動かなくなる書き方の知らせです。

  危険

  PHP や WordPress を上げたときに、まとめて壊れる前触れです。

• エラーの出どころ

  理由

  どのプラグイン・テーマの、どのファイルの何行目かまで突き止めます。

  危険

  出どころが分からないと、何を直せばよいか分からず、手当てが遅れます。

• WordPress が止めたもの

  理由

  WordPress は、重大なエラーを起こしたプラグインを自動で止めることがあります。

  危険

  知らないうちに、フォームや予約などの機能が止まっていることがあります。

セキュリティのプラグイン15種類の設定と、サーバーの設定を読む

• ログインの回数制限

  理由

  ロボットはパスワードを何万回でも試してきます。

  危険

  制限がないと、いつかパスワードを当てられ、管理画面に入られます。

• 二段階認証

  理由

  パスワードに加えて、スマホなどでもう1段確かめる仕組みです。

  危険

  無いと、パスワードが漏れた時点で誰でも管理画面に入れてしまいます。

• ログイン画面の画像認証

  理由

  人かロボットかを見分けて、ロボットの総当たりを止めます。

  危険

  無いと、ロボットが休まずログインを試し続け、サーバーも重くなります。

• ログイン画面の場所の変更

  理由

  WordPress のログイン画面の場所は誰でも知っているので、変えるだけで攻撃の多くを避けられます。

  危険

  そのままだと、世界中のロボットから毎日ログインを試されます。

• 海外からの管理画面へのアクセス制限

  理由

  日本のお店や会社のサイトなら、海外から管理画面に入る必要はほとんどありません。

  危険

  制限がないと、攻撃の多くを占める海外からのログインの試みが、そのまま届きます。

• XML-RPC の停止

  理由

  XML-RPC は外からログインできる古い窓口で、今はほとんど使われていません。

  危険

  開いていると、1回で大量のパスワードを試される入口になります。

• ログイン ID を外から見えなくする

  理由

  ログイン ID が分かると、攻撃者はパスワードを当てるだけになります。

  危険

  見えていると、乗っ取りの手間が半分になります。

• 管理画面の追加の鍵・入れる IP の制限

  理由

  管理画面の手前にもう1枚の鍵を置いたり、入れる場所を決めたりできます。

  危険

  無いと、ログイン画面まで誰でもたどり着けます。

• ファイアウォール (WAF)

  理由

  攻撃によくある送り方を、サイトに届く前に止める仕組みです。

  危険

  無いと、弱点を狙う攻撃がそのままサイトに届きます。

• アップロード先で PHP を動かさない

  理由

  画像を置く場所でプログラムが動くと、侵入の足場にされます。

  危険

  画像を装ったファイルを置かれると、サーバーで悪いプログラムを動かされます。

• 管理画面からのプログラムの編集の停止

  理由

  WordPress は、管理画面からテーマやプラグインのプログラムを書き換えられます。

  危険

  管理画面に入られた時点で、その場でサイトに悪いプログラムを書き込まれます。

• エラーを画面に出さない

  理由

  エラーの文には、サーバーの中の情報が含まれます。

  危険

  攻撃の手がかりを、自分から見せてしまいます。

• 誰でも会員登録できる設定

  理由

  会員登録を開けたままにしているサイトがあります。

  危険

  偽の会員が大量に作られます。登録したときの権限が高いと、管理画面まで乗っ取られます。

• 推測されやすい管理者 ID

  理由

  admin やドメイン名などの ID は、ロボットが最初に試す名前です。

  危険

  ID を当てられ、あとはパスワードだけで突破される状態になります。

• 認証用の鍵

  理由

  ログインの状態を守る8つの鍵が、初期のままや空のことがあります。

  危険

  鍵が弱いと、ログインの状態を偽造され、パスワードなしで入られるおそれがあります。

• 本体の自動更新

  理由

  本体の弱点の修正が、自動で入る設定になっているかを見ます。

  危険

  止まっていると、修正が出ても穴が開いたままになります。

• プラグインの自動更新

  理由

  弱点の修正をすぐに入れるには、プラグインの自動更新が効きます。

  危険

  OFF のものは、誰かが更新するまで弱点が残り続けます。

• 自動バックアップ

  理由

  被害に遭ったときに元に戻せるかは、バックアップがあるかで決まります。

  危険

  無いと、改ざんや故障のときにサイトを元に戻せず、作り直しになります。

• 改ざんの検知 (定期的な点検)

  理由

  ファイルを定期的に点検して、書き換えを見つける仕組みです。

  危険

  無いと、改ざんに何か月も気づかず、お客様に被害が広がります。

• https (管理画面も含む)

  理由

  サイトも管理画面も、通信が暗号化されているかを見ます。

  危険

  暗号化されていないと、ログインのパスワードや入力された内容を盗み見られます。

• 管理者の人数

  理由

  管理者の権限を持つ人が多いほど、乗っ取りの入口も増えます。

  危険

  辞めた人や使っていないアカウントから入られることがあります。

• 持ち主のいない予定の処理

  理由

  消したプラグインが、決まった時刻に動く処理 (予定) だけを残していくことがあります。

  危険

  意味のない処理が動き続けて、サイトが重くなります。

• 止まった予定の処理

  理由

  決まった時刻に動くはずの処理が、長く止まっていることがあります。

  危険

  予約投稿・バックアップ・自動更新が動いていないことがあります。

• アップロード先のプログラムのファイル

  理由

  画像などを置く場所に、プログラムのファイルがあるのは不自然です。

  危険

  侵入した攻撃者が置いた裏口であることが多いです。

• 不正なプログラムによく見られる書き方

  理由

  中身を隠したり外から命令を受け取ったりする、不正なプログラムに特有の書き方を探します。

  危険

  見つかれば、すでに乗っ取られ、迷惑メールの送信や偽のページに使われているおそれがあります。

• 公開の場所のバックアップ・書き出し

  理由

  バックアップや書き出しのファイルが、URL で開ける場所に置かれていることがあります。

  危険

  サイトの中身やお客様の情報を、丸ごと持ち出されます。

• サイトヘルス

  理由

  WordPress 自身が持っている健康診断の結果を確かめます。

  危険

  更新が止まる・外とつながらないなど、WordPress が自分で見つけた問題がそのまま残ります。

• 海外からトップが開けるか

  理由

  海外の拠点からトップページが開けるかを確かめます。Google のロボットは主に海外から読みに来ます。

  危険

  海外を止めすぎていると、Google がサイトを読めず、検索に載らなくなります。