ホームページのセキュリティを、自分で点検するチェックリスト10項目

結論： ホームページの安全は、特別な技術より、「何を使っていて、誰が見ているか」を把握しているかで決まります。次の10項目のうち、答えられない項目が多いほど、点検の優先度が高いサイトです。

点検10項目

1. HTTPSになっているか、証明書の期限はいつか

ブラウザのアドレス欄に、鍵のマークが出ているかを見ます。鍵をクリックすると、証明書の有効期限を確認できます。期限切れの詳細は、SSL証明書の期限切れで起きることを参照してください。

2. CMSの種類とバージョンは何か

WordPress、ムーバブルタイプなどを使っているなら、管理画面でバージョンを確認します。保守が終わっていないかも、公式サイトで調べます。

3. プラグインとテーマは、更新されているか

使っていないものは、無効にするだけでなく、削除します。更新が止まっているプラグインは、弱点になりやすい部分です。

4. 管理画面のログインは、守られているか

初期のURLのままになっていないか。パスワードは、使い回していないか。二段階認証を設定できるなら、設定します。

5. 使っていない管理者アカウントはないか

退職した担当者や、制作会社のアカウントが、残っていないか確認します。

6. 不要なファイルが、公開されたままになっていないか

test.html、backup.zip、old/ のような、古いファイルやバックアップが、外から見える場所に残っていないか。ブラウザで、それらしいURLを開いて確認します。

7. セキュリティヘッダーは、設定されているか

外から見える設定のひとつです。何を入れればよいかは、セキュリティヘッダーとはで説明しています。

8. バックアップは、あるか。戻せるか

サーバー側の自動バックアップがあるか。実際に戻せるかを、試したことがあるか。 バックアップは、戻せて初めて意味があります。

9. 問い合わせフォームは、安全か

スパム対策はあるか。古いフォーム用のプログラムが、悪用されないか。入力された個人情報は、どこに保存されているか。詳しくは、お問い合わせフォームのスパムと情報漏えい対策をご覧ください。

10. 担当者と、連絡先が決まっているか

サイトに問題が起きたとき、誰が気づき、誰が動くか。ドメインとサーバーの契約者と、更新日も、あわせて確認します。

点検の結果の見方

自分で確認できない場合

外から見える範囲であれば、無料サイトチェックで、お調べすることができます。管理画面の内側まで確認する点検は、許可をいただいて、別途ご相談になります。詳細はセキュリティ管理をご覧ください。

なお、確認ツールを使うときは、自社のサイトに対してだけ使ってください。他人のサイトを、許可なく調べてはいけません。

よくある質問

Q. すべてを確認するのに、どのくらいかかりますか？
一覧を作るところまでで、1〜2時間が目安です。分からない項目は、制作会社やサーバー会社に問い合わせます。

Q. 項目が多くて、全部はできません。
2（CMS）、3（プラグイン）、6（不要ファイル）の3つから始めてください。

Q. 被害が出ていないので、不要ではないですか？
被害に気づいていないだけ、という場合もあります。改ざんされても、見た目が変わらないものがあります。

まとめ

点検の第一歩は、「何を使っていて、誰が見ているか」を、書き出すことです。更新が止まっているCMSの危険は、古いCMSが危ない理由と点検のしかたで解説しています。