WordPressセキュリティ対策プラン
WordPressサイトのセキュリティ対策・強化オプションです。基本プランとプロプランをご用意しています。
2つのプランからお選びいただけます
「セキュリティ対策・強化をしたいけれど、何をすればいいか分からない」という方に代わって、必要な対策を判断・設定いたします。
基本的な対策で十分な方は基本プラン、サーバー環境やアカウント管理まで踏み込んで強化したい方はプロプランをお選びください。
本対策は攻撃リスクを低減するものであり、100%の安全を保証するものではありません。
基本プラン
CloudSecure WP Securityというプラグインを使って、WordPressの基本的なセキュリティ設定を行います。
基本プラン
CloudSecure WP Securityを使ったWordPressセキュリティ設定
- ログイン無効化（ブルートフォース攻撃対策）
- ログインURL変更
- ログインエラーメッセージ統一
- 2段階認証設定
- 画像認証追加
- ユーザー名漏えい防止
- XML-RPC無効化
- REST API無効化
- 管理画面アクセス制限
- 設定ファイルアクセス防止
- シンプルWAF（SQLインジェクション・XSS攻撃対策）
- ログイン通知設定
- アップデート通知設定
- サーバーエラー通知設定
※ WordPressを使用したサイトが対象です。
※ サーバー環境によっては一部機能が利用できない場合があります。
プロプラン
基本プランの内容に加えて、サーバー環境の設定・アカウント管理・データベースまで、より踏み込んだ対策をまとめて対応するプランです。
プロプラン
※ 基本プラン（CloudSecure WP Securityでの設定）の内容に加えて、以下の対策を実施いたします。
.htaccessを使った対応
- wp-config.phpへの直接アクセス拒否
- xmlrpc.phpへのアクセス制限
- wp-content/uploads内のPHP実行禁止
- ディレクトリリスティングの無効化
- wp-includesディレクトリへのアクセス制限
- 特定IPからの管理画面アクセス制限
- readme.html・license.txt等のアクセス拒否
- 不審なUser-Agent・ボットのブロック
- HTTPからHTTPSへの強制リダイレクト
- Content-Security-Policy（CSP）の設定
- HTTP Strict-Transport-Security（HSTS）の設定
- X-Frame-Optionsの設定
- X-Content-Type-Optionsの設定
- Referrer-Policyの設定
- X-Powered-Byヘッダーの削除
- エラーページのカスタマイズ（内部情報の非表示）
その他の対応項目
- サーバー提供WAFの有効化サポート
- バックアップの見直し
- 使用していないプラグイン・テーマの削除（古いjQuery等の整理を含む）
アカウント診断（変更もOK）
- 使っていないアカウントの洗い出し・削除
- 「admin」など推測されやすいユーザー名になっていないかの確認・変更
- パスワードの強度チェック
wp-config.php強化
- セキュリティキー（SALT）の再生成
- ファイルパーミッション適正化
- WP_DEBUGの無効化
データベース接頭辞（プレフィックス）変更
WordPressのデータを保存する場所（テーブル）の名前が、初期設定のまま（wp_）になっていると狙われやすいため、独自の文字列に変更する対応です。
新規制作時はほぼ手間なく設定可能です。既存サイトの場合は、正しく動作するよう関連箇所を確認しながら慎重に変更いたします。
作業前のバックアップについて：設定変更に伴い、作業前には必ずバックアップを取得いたします。データベースおよびFTP（サーバー）への接続アカウント情報をご提供いただけない場合、バックアップを取得できないため、大変恐れ入りますが対応をお断りする場合がございます。
ご注意事項
対象となるサイトについて
本プランはWordPressで制作されたサイトが対象です。WordPress以外で制作されたサイトへの対応をご希望の場合は、別途お見積りとなります。
また、大規模サイトは対象外とさせていただきます。
すでに被害を受けているサイトについて
すでに改ざん・不正アクセス等の被害を受けているサイトへの対応は、別途お見積りとなります。
また、被害を受けたサイトの復旧作業について、100%の復旧を保証するものではありません。
その他のご注意事項
・本ページに記載の対応内容は、すべてを実施することをお約束するものではありません。
・ご利用のサーバー環境やサイトの構成によっては、対応できない内容がございます。
・実際にどこまで対応可能かは、WordPress管理画面およびFTP（サーバー）へのアクセス権をいただいた上でご案内いたします。
・診断・確認の結果、状況によってはご依頼をお断りする場合がございます。
・設定後は、お客様側でも表示・動作のご確認をお願いする場合があります。
・SSL/TLS暗号設定やサーバーヘッダーの一部など、サーバー会社側の管理範囲に該当する内容は対応できません。
・診断の結果、想定以上の作業が必要な場合は、別途お見積りをご案内する場合があります。
・本パックは一般的な脆弱性対策であり、標的型攻撃など高度な攻撃をすべて防ぐものではありません。