WordPress 保守事業者向け
顧客が読める WordPress セキュリティレポート
管理している WordPress サイトごとに公開されたセキュリティ設定を確認し、結果を顧客にわかりやすく説明し、WordPress 向けの修正方法を手元に用意し、修正ごとに再診断で確認できます。
所有または診断の許可があるサイトのみ · 公開ページと DNS の受動的な確認 · 攻撃、ログイン試行、総当たり、ファジング、負荷試験は行いません
レポートで確認する項目
- HTTPS、TLS 証明書、HTTP から HTTPS へのリダイレクト。
- セキュリティヘッダー：HSTS、Content-Security-Policy、フレーム保護、nosniff、Referrer-Policy、Permissions-Policy。
- 公開ページの Cookie 属性（Secure、HttpOnly、SameSite）。
- レスポンスヘッダーでのサーバーと PHP のバージョン情報の露出。
- 公開された .git フォルダ、.env、phpinfo.php など、よく公開されてしまうファイル。
- メールドメインのレコード：SPF と DMARC。security.txt も確認します。
WordPress 向けの修正方法
確認する項目はどの Web サイトでも同じです。WordPress で変わるのは修正方法で、各検出項目に、小さなサイト専用プラグインや php.ini（.user.ini）の設定などの WordPress 向けの出発点を、Nginx、Apache HTTP Server、Cloudflare の設定例と並べて表示できます。出発点は特定のテーマやプラグインでは不完全だったり合わなかったりする場合があるため、すべての変更を本番の前にステージング環境で検証してください。
確認しない項目
- プラグインやテーマを脆弱性データベースと照合することはしません。その用途には WordPress 専用のセキュリティプラグインやサービスをご利用ください。
- ログイン、wp-admin のテスト、パスワードの推測、ファイル改ざんの確認は行いません。
- アプリケーションのロジックや、ログインが必要な部分はテストしません。
- 問題が見つからなかったことは、サイトに脆弱性がないことの証明にはなりません。
検出項目のサンプル（デモ用データ）
サンプルレポートでは、顧客が受け取る内容を確認できます。わかりやすい概要、証拠付きで優先度順に並んだ検出項目、プラットフォーム別の修正方法、再診断後の確認状況です。名前と数値はすべて架空の顧客のデモ用データです。
プラン
Free は Web サイト 1 件、手動診断は月 1 回です。Pro では PDF と CSV のレポート、修正確認、最大 5 件の Web サイトの週次監視が使えます。パスは 30 日または 365 日の前払いで、自動更新はありません。
よくある質問
脆弱な WordPress プラグインを見つけられますか？
いいえ。確認するのは Web サイトの公開設定で、プラグインやテーマのバージョンを脆弱性リストと照合することはしません。その用途には WordPress のセキュリティプラグインやサービスを使い、設定のレポートと修正確認には NeoShield をご利用ください。
診断でセキュリティプラグインが反応したり、サイトが遅くなったりしますか？
訪問者が数ページを開く程度の、少数の通常のリクエストを送り、DNS レコードを読み取ります。アクセスログに記録される場合があります。攻撃用のデータは送らず、ログインも試みません。
顧客の WordPress サイトを診断できますか？
顧客の許可がある場合に限ります。診断と定期実行の設定のたびに、許可を確認していただきます。