WordPressなどの更新システムを導入してウェブサイトを運営する場合、そのシステムのセキュリティ対策を行っておかないと、ウェブサイトを改ざんされたり乗っ取られたりしてしまう危険があります。
WordPressには「サイトヘルス」という機能があり、これを使うことによって、そのホームページの抱える主な問題点を健康診断的に一箇所で概観できます。
このサイトヘルスに表示される警告を減らすほど、ホームページの改ざんや乗っ取りなどのリスクも軽減することができます。
サイトヘルスの画面
管理画面メニューの「ツール」から「サイトヘルス」を選択すると、サイトの状態が表示されます。
画面には「ステータス」と「情報」という2つのタブがあり、問題点を見るのが「ステータス」、サイトの構成を確認するのが「情報」です。今回は主に前者について説明します。
点数表示は無くなりました
この記事を最初に公開した2019年当時、サイトヘルスには「◯%」という点数が表示されていました。当時は「一般的なユーザーでは60点から70点台になるのでは」とご紹介していたのですが、この点数表示は、その後のバージョンアップで廃止されています。
点数が出ると、どうしても満点を目指したくなるのですが、すべての項目に対応することが、そのサイトにとって最善とは限りません。そのため、点数制ではなくなったのかもしれませんね。
現在は「良好」または「改善が必要」という2種類の表示になり、警告の中身は次の3つに分類されています。
- 致命的な問題……優先して対応すべきもの
- おすすめの改善……対応すると良くなるが、必須ではないもの
- 問題のない項目……確認済みで問題がなかったもの
まず見ていただきたいのは「致命的な問題」が0件であること。ここさえ押さえておけば、ひとまずの健康状態は保てています。
作業の前にバックアップを
サイトヘルスに表示される警告を1つ1つ改善していく場合、作業に不慣れだと別の不具合が発生してしまう可能性があります。
そのため、作業前にWordPress全体のバックアップは行っておいてください。契約しているサーバーの自動バックアップが動いているかを確認するだけでも少しは安心できます。
まずやっておきたいこと
サイトヘルスの表示を見る前でも、済ませておくと警告が減る作業があります。
使っていないプラグインやテーマを削除する
プラグインやテーマのうち、使っていない（停止中になっている）ものがあれば削除します。
テーマについては、現在使用中のものと、WordPressに最初から入っている標準テーマ1つを残して、あとは削除するのが一番身軽になります。標準テーマは年ごとに新しいものが追加されていきますので、古い年のものが複数残っている場合は整理してください。
ここで注意していただきたいのは、停止しているだけのプラグインやテーマも、ファイル自体はサーバー上に残っているという点です。種類によっては、停止中でも攻撃の入口になり得ます。「いつか使うかも」で残してあるものは、思い切って一度削除しましょう。
更新できるものは更新する
利用中のプラグインやテーマに更新があれば、あわせて実施します。
WordPress関連の脆弱性は、その大半がプラグインやテーマに起因するものです。更新を当てるという作業そのものが、もっとも効果の高いセキュリティ対策になります。
よく表示される警告と、その優先度
サイトヘルスに表示される項目は、WordPressやサーバーの知識がないと、何をどこまで改善しておくべきかイメージがつかみづらいかもしれません。そこで、士業事務所さんのウェブサイトでよく見かける警告について、対応の優先度を整理しておきます。
すぐ対応したいもの
- 更新可能なプラグイン・テーマ・WordPress本体があります……上で触れたとおりです
- サイトでHTTPSが使用されていません……お問い合わせフォームを設置している以上、必須です。サーバー側の設定で対応できます
- バックグラウンド更新が想定どおりに動いていません……WordPress本体の自動的な修正が適用されない状態です。原因の特定が必要になります
さすがに、2026年になってHTTPSが使われていないというケースはほぼ無くなった……と思いたいところですが……。
状況を見て判断するもの
- PHPの更新を推奨します……サポートの切れたPHPは、それ自体が穴になります。ただし変更によって古いプラグインが動かなくなることがありますので、必ずバックアップを取ってから、できれば制作会社に相談したうえで実施してください
- データベースサーバーの更新……こちらもサーバー側の操作になります。自己判断での変更は避けたほうが無難です
小規模なサイトでは、保留で構わないもの
- ページキャッシュが使用されていません……表示を速くする仕組みについての指摘ですが、アクセス数の限られる士業事務所のウェブサイトでは、体感できる差が出ないことも多いです
- 永続オブジェクトキャッシュを使用してください……こちらも同様です。サーバーによっては、そもそも利用できません
- REST APIで予期しない結果が発生しました……セキュリティ対策のプラグインが原因であることも多く、その場合は対応不要です
このあたりが「おすすめの改善」に並んでいても、通常は慌てて対処する必要はありません。
無理に「良好」を狙わなくともOK
サイトヘルスに表示される警告内容をすべて改善すれば、この画面上では「良好」の表示になります。
褒めてもらえるのは快感です。しかし実際に運用中のサイトですべて対応してしまうと、セキュリティやWordPress本体の動作環境としては良好でも、運営上の不都合が生じることも考えられます。
たとえば、警告を消すために必要なプラグインを削除してしまい、お問い合わせフォームが動かなくなる。あるいはPHPのバージョンを上げた結果、レイアウトが崩れる。これは実際によく起こる話です。
致命的な問題さえ解決できているなら、あとは実際に問題なく運用できることを優先して「おすすめの改善」は保留にしてしまうのも一計です。
点数表示が廃止されたのも、おそらくは同じ理由によるものだと思われます。
サイトヘルスに表示されない問題もある
サイトヘルスが見ているのは、あくまでWordPressというシステムの状態であって、ウェブサイトが営業ツールとして機能しているかどうかではありません。
たとえば、次のような問題は、サイトヘルスには一切表示されません。
- お問い合わせフォームから送信したメールが、実は届いていない
- バックアップは取得されているが、実際には復元できない状態になっている
- スマートフォンで見たときに、表が画面からはみ出している
- 記載されている制度の内容が、法改正前のまま古くなっている
- 問い合わせが、この半年間1件も来ていない
どれも、サイトヘルスが「良好」と表示していても起こり得ることです。
特に1つめは深刻で、相談があったこと自体に気づいていないという状態になります。月に一度、ご自身でフォームからテスト送信して確認することをおすすめします。
セキュリティの向上はサイトヘルス以外の対策も必要
サイトヘルスはあくまで、WordPressの健康診断です。診断結果を基に改善することによって、病気になりにくい身体づくりにつなげることはできますが、重大疾患を避けるための予防接種的な意味は薄いです。
もしセキュリティ対策などをより高めたいのであれば、ここで警告される内容を前提としつつ、他にもセキュリティ向上を主目的とした対策を取っていくことになります。
確認は、半年に一度
確認の頻度については、半年に一度、あるいは大きな更新を当てた直後に見る、というくらいで十分です。
そのときに見るのは、ここまでお伝えしたとおり「致命的な問題」が0件かどうかを重視してください。
あわせて「情報」タブを開いて、現在のWordPressとPHPのバージョンを控えておくと、何かトラブルが起きたときに制作会社へ伝える情報として役立ちます。
健康診断と同じで、受けること自体が目的ではありません。問題が見つかったときに、慌てず順番に対処できる状態を作っておくことが目的です。
