WordPressのセキュリティ対策に「静的化」という選択肢｜TenCyが移行・運用までサポート
TenCy株式会社では、WordPressサイトのセキュリティ対策として、既存のWordPressを活用しながら公開サイトを静的化するサービスの提供を開始しました。
WordPressの管理環境と公開環境を分離し、公開側ではHTML・CSS・JavaScript・画像などの静的ファイルを配信することで、PHPやデータベースなどを公開環境から切り離し、攻撃対象となる領域を減らします。
現在のホームページのデザインやコンテンツ、WordPressによる更新環境を活かしながら、公開方法を見直すセキュリティ対策です。
サービス詳細：
https://tency.co.jp/lp/wordpress-security-static-site-replace/
WordPressサイトの「公開方法」を見直すセキュリティ対策
一般的なWordPressサイトでは、閲覧者がページへアクセスするたびに、サーバー上でWordPressやPHP、データベースが動作してページを生成します。
そのため、WordPress本体やプラグイン、テーマなどに脆弱性が発生した場合、公開環境そのものが攻撃対象になる可能性があります。
静的化では、WordPressで作成したページをあらかじめHTMLなどのファイルとして生成し、公開側ではその静的ファイルだけを配信します。
構成イメージは以下のとおりです。
管理環境
WordPressで記事やページを編集
↓
静的ファイルを生成
↓
公開環境
HTML・CSS・JavaScript・画像などを配信
公開サイトとWordPressの管理環境を分離することで、一般の閲覧者からWordPress本体へ直接アクセスされる経路を減らします。
現在のWordPressをそのまま活用できる
静的化というと、「WordPressを廃止してサイトを作り直す」というイメージを持たれることがあります。
TenCyのWordPress静的化では、現在のWordPressをコンテンツを管理するためのCMSとして引き続き利用する構成を基本としています。
そのため、
- 現在のデザイン
- 既存の記事・ページ
- WordPressの管理画面
- 日々の記事更新
などを活かしながら、公開側の仕組みだけを変更できる場合があります。
ホームページ全体を一から作り直すのではなく、既存資産を活用したセキュリティ対策を検討できます。
WordPress静的化の主なメリット
公開サイトの攻撃対象領域を減らせる
公開環境でWordPress、PHP、データベースを動かさない構成にすることで、WordPress由来の攻撃経路を減らします。
WordPress管理画面を公開サイトから分離できる
WordPressの管理環境を一般の閲覧者から直接アクセスできない構成にすることで、ログイン画面などへの不正アクセス対策にもつながります。
表示速度の改善も期待できる
静的ファイルをそのまま配信するため、ページ表示時のサーバー側処理を減らすことができます。
サイト構成によっては、表示速度やサーバー負荷の改善も期待できます。
WordPressでの記事更新を継続できる
管理側では引き続きWordPressを利用できます。
ブログやお知らせなど、これまでWordPressで行っていたコンテンツ更新を続けながら、公開サイトだけを静的化することが可能です。
こんなWordPressサイトにおすすめ
特に、以下のような企業サイトでは静的化を検討しやすいと考えています。
- WordPressを長期間更新できていない
- プラグインが多く、セキュリティに不安がある
- WordPressの管理画面を外部へ公開したくない
- 現在のホームページを大きく作り直したくない
- WordPressでの記事更新は今後も続けたい
- コーポレートサイトや採用サイトを長期的に安全に運用したい
一方、ECサイト、会員サイト、予約システムなど、WordPress上で動的な処理を多く行っているサイトでは、そのまま静的化できない場合があります。
そのため、TenCyでは事前に現在のWordPressサイトを確認し、静的化に適したサイトかどうかを判断します。
フォームやサイト内検索にも対応方法を検討
WordPressを静的化すると、PHPを使って動作している機能はそのままでは利用できなくなる場合があります。
たとえば、
- お問い合わせフォーム
- サイト内検索
- WordPress標準の動的機能
- 外部サービスとのAPI連携
などです。
TenCyでは現在のサイト構成を確認したうえで、外部フォームサービスやJavaScriptによる検索、外部APIなども含めて代替方法を検討します。
単にHTMLへ変換するだけではなく、現在のWebサイト運用をできるだけ維持したまま移行することを重視しています。
TenCyが調査から移行・運用までサポート
WordPressサイトは、使用しているテーマやプラグイン、フォーム、検索機能、更新方法などによって構成が異なります。
そのためTenCyでは、すべてのサイトを同じ方法で静的化するのではなく、事前調査を行ったうえでサイトごとの移行方法を設計します。
主な対応内容は以下のとおりです。
- 現在のWordPress構成・機能の調査
- 静的化に適しているかの診断
- 公開環境と管理環境の分離設計
- 静的ファイルの生成・公開環境の構築
- フォーム・サイト内検索などの機能調整
- 表示・機能テスト
- 公開
- 更新・運用方法の整備
現在のサイトを確認したうえで、静的化するメリットが少ない場合や、別のセキュリティ対策の方が適している場合も含めて検討します。
静的化してもセキュリティ対策が不要になるわけではありません
WordPressを静的化すれば、すべてのセキュリティリスクがなくなるわけではありません。
管理側で利用するWordPressについては、引き続き、
- WordPress本体のアップデート
- プラグイン・テーマの更新
- 管理画面の認証対策
- バックアップ
- サーバーや公開環境のセキュリティ管理
などが必要です。
静的化は、セキュリティ対策を不要にするものではなく、公開サイトの構造そのものを見直し、攻撃対象領域を減らすための対策の一つです。
WordPressサイトのセキュリティに不安がある方はご相談ください
WordPressサイトを長期間運用していると、
「プラグインを更新するとサイトが壊れそうで更新できない」
「今どのようなセキュリティ対策がされているのか分からない」
「ホームページを作り直さずにセキュリティを強化したい」
といった課題が出てくることがあります。
TenCyでは、現在のWordPressサイトの構成や更新方法を確認したうえで、静的化を含めたセキュリティ対策をご提案します。
現在のホームページを活かしながら、より安全なWebサイト運用へ移行したい企業様はお気軽にご相談ください。
WordPress静的化サービスの詳細
