サイトのセキュリティと個人データは、常に最優先事項です。このページでは、当社がサイトと個人データをどのように保護しているか、また同じように保護するためにおすすめする追加の対策について説明します。
他の WordPress ホストでは、サイト所有者がサードパーティのプラグインを使ってセキュリティ対策を自分で設定するのが一般的です。WordPress.com では、こうした対策を当社が代わりに行います。以下は、サイトをすでに保護している組み込みの機能とプロセスの一部です。
WordPress のソフトウェアは、最新のセキュリティ機能やプロトコルに合わせて継続的に更新されています。サイトで使用している WordPress のバージョンが古くなると、セキュリティリスクにさらされるおそれがあります。そのため、WordPress.com でホスティングされているすべてのサイトでは、WordPress のバージョンを常に最新の状態に自動的に保っています。
強力な暗号化は、プライバシーとセキュリティを守るうえで欠かせません。WordPress.com のすべてのサイトは、カスタムドメインを含めて SSL で暗号化されています。WordPress.com では強力な暗号化を非常に重視しているため、サイトのセキュリティを損なうことになるこの設定を無効にするオプションは用意していません。また、安全でない HTTP リクエストはすべて、安全な HTTPS バージョンに 301 リダイレクトされます。SSL によるドメインの保護について詳しくはこちらをご覧ください。
Jetpack スキャンは、WordPress.com のすべてのサイトを毎日チェックし、危険なプラグイン、テーマ、マルウェア、その他の脆弱性がないか確認します。問題が見つかると、セキュリティチームが迅速に対処し、状況に応じてファイルの更新や復元を行います。
WordPress.com のサイトデータは、定期的にシステムによりバックアップされるため、万一データ損失が発生した場合 (停電や自然災害など) でも、データを回復できます。WordPress.com のすべてのサイトが保護されていますが、上位プランのサイトではダッシュボードから毎日のバックアップにアクセスできます。
ファイアウォールは、分散サービス拒否 (DDoS) 攻撃やその他のハッキングの試みに対する重要な防御層です。当社の Web アプリケーションファイアウォール (WAF) は、WordPress.com のすべてのサイトへの受信トラフィックを検査し、さまざまなルール (疑わしい IP アドレス、悪意のあるボット、異常なトラフィックアクティビティなど) に基づいて許可またはブロックを判断します。
ファイアウォール接続を必要とするカスタムアプリを構築している場合は、ファイアウォールルールのページで許可されているプロトコルとポートを確認できます。
WordPress.com のSupervisión de inactividadは、サイトを継続的に監視し、ダウンタイムが検出された瞬間に通知します。WordPress.com は99.999%のアップタイムを誇っており、ホスティング環境やサーバー、セキュリティ上の問題、トラフィックの急増が原因でサイトが停止することは、他社のホストと比べて起こりにくくなっています。それでも、万一ダウンタイムが発生した場合は自動モニターが通知します。
Web トラフィックを継続的に監視し、疑わしいアクティビティを確認しています。当社のセキュリティ対策は、不正なログインの試行、ブルートフォース攻撃、分散サービス拒否 (DDoS) 攻撃からの保護に役立ちます。
当社には、データ保護に携わる専属のセキュリティチームがあります。すべての WordPress.com サイトで有効になっているセキュリティツール Jetpack スキャンによって検出された潜在的なセキュリティリスクへの対処や、マルウェアの排除に取り組んでいます。
HackerOne によるバグバウンティプログラムを実施することにより、バグ発見者に報酬を出して、サービスのセキュリティ向上を図っています。
WordPress.com でホスティングされているサイトでセキュリティ対策のテストを行いたい場合、ホワイトリスト登録には対応していませんのでご了承ください。テスト自体は自由に行えますが、当社のシステムでは悪意のあるアクセスかどうかを判別できないため、IP アドレスが一時的にブロックされる場合があります。
データがインターネット経由で送信されることも電子的に保存されることも、完全に安全とは言い切れません。サイトやアカウントの絶対的なセキュリティを保証することは、当社のみならず、だれにとっても不可能です。しかし、サイトや個人データをしっかり保護することは、当社にとって極めて重要な事項です。
セキュリティは双方向の取り組みです。サイトや WordPress.com アカウントを守るために、ご自身でもできることがあります。
オンラインでのセキュリティの最大の弱点は、パスワードです。パスワードは、サイトやメール、SNS アカウントなど、日常的に使うオンラインサービスを守る重要な鍵です。推測されやすいパスワードを使うと、オンライン上での本人確認が弱くなってしまいます。たった1人にパスワードを見破られるだけで、サイトが改ざんされたり、ドメインを奪われたり、なりすましに使われたりするおそれがあります。
使用するどのパスワードも、容易に記憶できて、しかも推測が困難なものでなければなりません。数字や文字を無作為に並べたパスワードは推測されにくい一方で、覚えにくいという難点があります。一方、誕生日や初めて飼ったペットの名前なら忘れることがないかもしれませんが、推測したり調べたりして突き止められる可能性が大きくなり、パスワードとしては非常に悪いものとなります。
WordPress.com では、文字、数字、特殊文字を自由に組み合わせた非常に長いパスワードを使用できるため、利用するパスワードしだいで、パスワードとサイトの安全性は大きく左右されます。強力なパスワードの作成のためのヒントをいくつかまとめました。
強力なパスワードに加えて、2段階認証でアカウントのセキュリティをさらに強化することをお勧めします。2段階認証では、ログイン時に追加の手順が加わります。パスワードを入力した後、スマートフォンに表示されるコード、または物理キーを使って本人確認する必要があります。これにより、たとえだれかがパスワードを知っていたとしても、スマートフォンや物理キーを持っていない限りアカウントにアクセスすることはできません。2段階認証の有効化方法はこちらをご覧ください。
当社には、サイトのスキャン結果を積極的にモニタリングし、問題の解決を支援する専属チームがあります。サイトでマルウェアが検出された場合は、影響を受けたファイルやディレクトリを速やかに削除します。この作業により、サイトの外観や機能に変更が生じる場合がありますが、その際はメールでお知らせします。
そのため、WordPress.com に登録しているメールアドレスを常に最新の状態に保つことが重要です。アカウントのメールアドレスの変更方法はこちらをご確認ください。
作業が終わったらログアウトすることで、アカウントを保護できます。これは、共有のコンピューターや公共の場所にあるコンピューターで作業する場合に特に重要です。ログアウトしないと、だれかがブラウザーの履歴から WordPress.com ダッシュボードに戻り、アカウントにアクセスできてしまいます。
WordPress.com アカウントからログアウトするには、https://my.wordpress.com/me/account を開き、プロフィールをクリックします。その後、「ログアウト」ボタンをクリックします。
サイトに他のユーザーを招待して、共同で運営することができます。これは、複数の作成者がいるグループブログ、編集ワークフローのあるマガジンスタイルのサイト、管理業務の一部を分担したい大規模サイトなどに最適です。
ただし、業務を分担するということは、責任も共有するということです。そのため WordPress.com では、サイトに追加する各ユーザーに異なる権限グループを設定できます。各権限グループでできることは異なります。
- 寄稿者: 最も制限の強い権限グループです。下書きの投稿のみ作成でき、公開はできません。
- 作成者: 投稿を公開したり画像をアップロードしたりできますが、他のユーザーの投稿には手を加えられません。
- 編集者: どのユーザーの投稿でも編集・公開でき、コメントの承認やカテゴリー・タグの管理も行えます。
- 管理者: サイトを完全に管理でき、削除することも可能です。
ユーザーを追加する際は、そのユーザーにサイト上でしてほしいことに最も適した権限グループを選択してください。少数の投稿のみを予定しているユーザーのアカウントを設定する場合は、寄稿者にしましょう。作成者と編集者の権限グループは、サイトに長期間関わる信頼できるユーザーのために取っておいてください。
最後に、管理者の権限グループには特に注意が必要です。別のユーザーを管理者にするということは、サイトに対するあらゆる変更を行える完全なアクセス権を与えるということです。信頼できるユーザーだけを管理者に追加し、サイトへのアクセスが不要になったら削除してください。
Jetpack アクティビティログには、サイト上のすべての操作やイベントが記録されるため、変更や予期しない出来事を把握できます。定期的に確認して、サイトで行われた操作を追跡しましょう。
サイトのプラグインやテーマは、セキュリティ侵害を防ぎ、サイト・コンテンツ・訪問者を保護するために定期的な更新が必要です。WordPress.com では、プラグインとテーマの自動更新を有効にすることができます。
インストールされているテーマやプラグインが多いほど、ハッカーに悪用される機会も増えます。サイトに不要になったプラグインやテーマは削除しましょう。これにはサイトのパフォーマンスが向上するという利点もあります。
WordPress.com から届いたメールが正規のものであることを必ず確認してください。
- WordPress.com からのメールは、必ず @wordpress.com で終わるアドレスから送信されます。
- WordPress.com のメールが @something.wordpress.com や @something-wordpress.com から届くことはありません。
- 受信したメールについて少しでも不審に感じた場合は、お問い合わせいただき、正規のメールかどうかご確認ください。
当社からログイン情報をお尋ねすることは一切ありません。また、https://wordpress.com または yourgroovysite.com/wp-admin/ のお使いの WP 管理画面以外でログインをお願いすることもありません。yourgroovysite.com は有効なサイトアドレスに置き換えてください。
上記のとおりセキュリティが組み込まれているため、WordPress.com のサイトがハッキングされる可能性は非常に低いです。万が一問題が疑われる場合は、サイトがハッキングされた疑いがある場合の対処法のステップバイステップガイドに従ってください。
他の WordPress ホストでは、サイト所有者がセキュリティプラグインをインストールして、サイトの監視、マルウェアのスキャン、ブルートフォース攻撃やログイン試行のブロックを行うのが一般的です。よく使われるプラグインには Wordfence や Sucuri Security などがあります。
しかし、これらのプラグインが提供する機能は、WordPress.com プラットフォームにすでに組み込まれています。WordPress.com は管理型ホスティングサービスであり、インストール型のサイト所有者が通常は自分で対応しなければならない、セキュリティを含む主要な機能をすべて提供しています。
そのため、WordPress.com のサイト所有者はセキュリティプラグインをインストールする必要がありません。実際、一部のセキュリティプラグインは、サイトですでに動作している組み込みのセキュリティ機能と干渉する場合があります。このガイドで説明しているセキュリティ機能を活用して、時間とコストを節約しましょう。
サイトのセキュリティについてご不安な点がありましたら、遠慮なくお問い合わせください。
日本語サポート
コメントを投稿するにはログインしてください。