「うちのサイト、外から見てどこまで分かってしまうんだろう」。WordPress のサイトを持っていると、一度は気になったことがあるのではないでしょうか。そんなときに使える、無料の WordPress セキュリティー診断を紹介します。URL を入れるだけで、外から見える守りの状態を確かめられます。
URL を入れるだけ。会員登録もいりません
診断のページで、確かめたい WordPress のサイトの URL を入れて「診断」を押すだけです。会員登録やログインはいりません。だれでも見られる公開の情報だけを使うので、サイトの中に何かを入れたり、設定を変えたりすることもありません。
確かめられること
| 項目 | 分かること |
|---|---|
| SSL（https） | 暗号化の通信になっているか、いつも https で開かれるか |
| WordPress のバージョン | 外からバージョンが見えてしまっていないか。見えるときは、最新かどうか |
| XML-RPC | 使っていないのに、外から使える状態になっていないか |
| REST API | 外から読めるようになっていないか |
| ログインページ | 管理画面のログイン ID が、外から推測できてしまわないか |
どの項目にも、結果のそばに「どうすればよいか」の案と、くわしい手順の記事へのリンクが付いています。気になる結果が出たら、その場で直し方まで確かめられます。
いちばん大事なのは「ログイン ID」
WordPress は、何も手を入れないままだと、ログインに使う ID が外から分かってしまうことがあります。ID が分かると、残りはパスワードを当てるだけになるので、ねらわれやすくなります。この診断では、ふつうのブラウザーと同じ手順でログイン ID を推測できるかを試します。「判定できませんでした」と出れば、外からは分からない状態です。
診断は「今」、サイトビーコンは「これから」
この診断は、今の状態を 1 回確かめるためのものです。いっぽう、システマのサイトビーコンは、登録したサイトを続けて見張ります。止まっていないかの見張りに加えて、SSL の期限やセキュリティのヘッダー、WordPress の中の状態（更新が残っていないか・管理者が増えていないか など）も、毎日確かめてお知らせします。
まず診断で今の状態を確かめて、直したあとはサイトビーコンで見張り続ける、という使い方がおすすめです。直した設定が、プラグインの更新などでいつのまにか元に戻ってしまったときにも気づけます。
使うときの注意
- 診断は、基本的にご自身のサイトでお使いください
- 結果は目安です。「良好」でも絶対に安全というわけではなく、「要確認」でもすぐに危ないとは限りません
- サーバーやプラグインの設定によっては、正しく判定できないことがあります
まとめ
WordPress のセキュリティー診断は、URL を入れるだけで、外から見える守りの状態を無料で確かめられる道具です。まずは自分のサイトで試してみてください。
続けて見張りたいときは、サイトビーコンも合わせてお使いください。無料のプランから試せます。