WordPressは危ない、という話をよく聞きます。半分あたっていて、半分外れています。
正確に言うと、WordPress本体が原因で被害に遭うことは、あまり多くありません。本体はよく整備されていて、問題が見つかれば速やかに修正版が出ますし、多くのサイトでは自動で当たります。
では、どこが弱点なのか。本体ではなく、その周りに後から足したものです。プラグイン、テーマ、ログイン、そして人。ここを順に見ていきます。
弱点1：プラグイン
WordPressは、本体だけでは素朴な作りです。問い合わせフォーム、予約、SEO、バックアップ、カレンダー。必要な機能は、プラグインという部品を足して実現します。
この部品を作っているのは、世界中の個人や小さな会社です。本体と同じ品質管理が働いているわけではありません。そして、多くのサイトで問題になるのは、次の2つです。
作者が、更新をやめている
数年前に入れたプラグインが、いまも動いている。動いてはいるが、作者はとっくに開発をやめている——これが非常に多いです。
問題が見つかっても、直す人がいません。そして、動いているうちは誰も気づきません。プラグインの一覧に「最終更新:3年前」と表示されていても、サイトが表示されている限り、わざわざ見に行かないからです。
使っていないのに、置いたまま
試しに入れて、使わなくなった。制作会社が入れたが、何のためか分からない。停止していても、ファイルはサーバーに残っています。そして、停止中のプラグインでも問題の入口になることがあります。
いま管理画面を開いて、プラグインの一覧を見てください。数はいくつありますか。そのうち、何をするものか説明できるものはいくつありますか。
説明できないものが半分を超えていたら、整理の時期です。
弱点2：テーマ
見た目を決めるテーマも、同じ構造の問題を抱えています。しかも、プラグインより厄介です。
制作会社が独自に作ったテーマ、あるいは有料で買ったテーマの場合、更新できるのはその作り手だけです。取引が終わっていれば、直せる人がいません。
さらに、テーマは見た目そのものなので、入れ替えるとサイトの形が変わります。「古いから新しくしましょう」が、実質的に作り直しになる。これがテーマの更新が後回しにされ続ける理由です。
弱点3：ログイン画面
ここは、技術というより設定の話です。
WordPressのログイン画面は、多くの場合決まった場所にあります。だから、世界中から自動でログインを試すプログラムが、毎日やってきます。狙われているのではなく、片っ端から試されているだけです。
そして、次のような状態だと通ってしまいます。
- ユーザー名が「admin」のまま
- ユーザー名が、サイトに表示されている投稿者名と同じ
- パスワードが、店名＋数字などの推測しやすいもの
- 二段階認証を入れていない
- 退職した方のアカウントが残ったまま
いちばん多いのは、最後の項目です。制作会社の担当者、辞めたスタッフ、手伝ってもらった知人。管理者権限のアカウントが、何年も残っています。
弱点4：使っていないファイル
これは意外と知られていません。
サイトを作り直したとき、古いサイトのファイルがサーバーに残っていることがあります。「/old/」「/backup/」「/test/」といったフォルダに、以前のWordPressが丸ごと入ったまま。
誰も見ていませんし、リンクも張られていません。ですが、そこにあるWordPressは何年も更新されていません。そして、外からは見つけられます。
では、何をすればいいのか
優先順位をつけます。上から順に、費用がかからず効果が大きいものです。
今日できること
- ユーザー一覧を開いて、知らない人を消す。管理画面の「ユーザー」を見てください。心当たりのないアカウント、辞めた方のアカウントを削除します。これが最優先です
- 使っていないプラグインを削除する。停止するだけでなく、削除まで行ってください。分からないものは、制作した会社に聞いてから
- 本体とプラグインを更新する。怖ければ、まずバックアップを取ってから。順番は本体→プラグインです
- 管理者アカウントに二段階認証を入れる。プラグインで実現できます。10分で終わります
- サーバーに古いフォルダが残っていないか見る。ファイルマネージャで、身に覚えのないフォルダがないか確認してください
更新が怖い、という気持ちについて
「押したら壊れそうで、怖くて押せない」。これは、よく分かります。実際に、更新でレイアウトが崩れることはあります。
ただ、順序が逆になっているお店が多いです。怖いのは、更新が失敗することではありません。戻せないことです。
バックアップが自動で取られていて、いつでも戻せる状態なら、更新は怖くありません。失敗したら戻せばいいだけです。まずバックアップの仕組みを整える。そのあとで更新する。この順番にすると、怖さの大半は消えます。
ご契約のサーバーによっては、自動バックアップが標準で付いています。エックスサーバーなら過去14日分が自動保存されています。すでにあるものを使えば、費用はかかりません。
そもそも、WordPressである必要はありますか
最後に、身も蓋もないことを書きます。
ここまでの管理を、営業をしながら続けるのは大変です。そして、お店のサイトの多くは、WordPressの機能をほとんど使っていません。お知らせを月に1回書くかどうか、という使い方であれば、もっと手のかからない作り方があります。
更新の必要がなく、乗っ取られる入口がなく、表示も速い。そういう作り方をすると、この記事に書いた心配のほとんどが消えます。弊社が静的なサイトでお作りしているのは、この理由です。
もちろん、記事を頻繁に書く、会員機能がある、複数人で編集するといった場合は、WordPressのほうが向いています。合っているかどうかの話であって、良し悪しの話ではありません。
ご自身のサイトがどちらなのか、判断がつかないときはお聞きください。「いまのままで問題ありません」と申し上げることもあります。
いまの状態を、お調べします。
サイトのアドレスを教えていただければ、外から分かる範囲で確認してお伝えします。
更新が止まっていないか、古いファイルが残っていないか。費用はいただきません。