誰かに狙われたわけではありません

誰かに狙われたわけではありません。ウェブサイトのセキュリティで、ここが一番誤解されやすいところです。

ご自身のサイトが何で作られているか、わからないかもしれません。たいていの場合、それは問題になりません。Wix、Squarespace、GoDaddy のビルダー、Shopify は、いずれもホスティング型のサイト作成サービスです。これらを使っている場合でも、アカウント、ドメイン、二要素認証、無料でできる確認は、そのまま当てはまります。WordPress だけに当てはまる手順には、その旨を書いています。

実際に起きていること

スキャンは自動です。ソフトウェアが、見つかるアドレスを片端から回り、すでに公開されている穴のリストを試して、次へ移ります。事業がどれだけ小さいかも、予約が電話で入ることも、サイトが5ページしかないことも、そのソフトウェアには関係ありません。標的ではありません。リストの一行です。

これは、聞こえるほど悪い話ではありません。対処の中身が変わるからです。こちらのことを考えている相手から守るのではありません。機械が試して、失敗して、通り過ぎていく扉を閉めるだけです。対処は地味で、数は少なく、そして終わります。

サーバーに管理画面があれば、これを実際に見ることができます。サイトのアクセスログを開いてください。cPanel を使ったサーバーなら、Raw Access か Visitors の中にあります。ログをまったく見せないサービスもあり、その場合は下のリストへそのまま進んでください。1分ぶんをざっと眺めてみてください。目に留めるべき行は、存在しないページへのリクエスト、一度も入れていないソフトウェアのログイン画面、置いた覚えのないファイル名です。ひとつも見つからなければ、それも良い結果です。

やることは5つ、この順番で

午後をまるごと空けて一気にやっても、お客さまの合間に1日1つずつ進めてもかまいません。どれも専門家は必要ありません。

1. サイトが何で動いていて、誰が更新しているかを知る。 試されている穴は、すでに公開されているものです。つまり、たいていは直し方も公開されていて、しかも試される前から存在しています。ホスティング型のサービスなら、ソフトウェアの更新は提供側がやるので、こちらで入れるものはありません。WordPress なら、更新画面を見れば今の状態がわかります。サイトを作ったのが別の人で、ログイン情報が手元にないなら、最後に更新したのはいつかをメールで聞いてください。「わからない」という返事も、それはそれで役に立ちます。

2. 使っていないものを消す。 プラグイン、テーマ、連携しているアプリは、どれもサイトの上で動くコードが増えるということです。一度試してそのままになっているものも同じです。ホスティング型のサービスなら、使わなくなったアプリを外してください。WordPress では、プラグインを停止してもファイルはそのまま残るので、二度と使わないものは削除してください。標準のテーマは1つ入れたままにしておきます。使用中のテーマが壊れたとき、WordPress はそこに戻ります。

3. 3つのアカウントに二要素認証を入れる。ドメイン、サーバー、メール。 ホスティング型のサービスでは、サーバーのアカウントはそのサービスのログインそのものです。忘れられやすいのは、ドメインを登録している会社（レジストラ）のアカウントです。ドメインを握っている人は、サイトの向き先をどこにでも変えられますし、登録情報のメールアドレスを使って他のパスワードを再設定できることも多いです。レジストラの管理画面を開いたついでに、ドメインの有効期限を確認してください。登録情報の連絡先メールアドレスも確認してください。.com.au のドメインは免許のようなもので、更新日と連絡先があります。その連絡先が、もう事業を離れた人になっているなら、今日のうちに変えてください。

4. 今もアクセスできるのが誰かを把握する。 紙に書き出してください。サイトのログイン、サーバーまたはサイト作成サービスのアカウント、ドメインのレジストラ、共有の受信トレイ、Google ビジネス プロフィールの管理者、予約システム、SNS のアカウント。去年やめた受付の担当者。3年前に頼んだ開発者。一度だけ手伝ってくれた、悪気のない知人。それぞれの名前について、問うのは信用できるかどうかではありません。何かあったときに気づけるかどうかです。

アクセスできることと、所有していることは別です。ドメインが誰の名義で登録されているかは公開情報で、作り直しを引き受けてもらう前にまずやるべきなのが、その登録情報を確認することです。

5. 実際に戻したことのあるバックアップを持つ。 一度も戻したことのないバックアップは、ただのファイルです。バックアップではありません。一度試すために、静かな午前中を空けてください。やり方は別の記事に書いています。ホスティング型のサービスなら、ページの文章、写真、料金表は、自分の手元にも控えを持っておいてください。

心配しなくていいこと

ログに残る雑音そのものは、何かが起きたということではありません。WordPress を使っていないサイトに WordPress のログイン画面を求めてくるリクエストは、存在しない扉を機械が叩いているだけです。これに対してやることはありませんし、アドレスを1つずつ手で遮断しても終わりません。リストはまた埋まるからです。

無料のヘッダー診断サイトが出す A から F の評価は、緊急事態ではありません。足りないセキュリティヘッダーは、次に誰かがコードを触るときに足せば十分です。日曜日に誰かへ電話をかける理由にはなりません。ホスティング型のサービスでは、ヘッダーを設定するのは提供側なので、こちらでやることはありません。

問い合わせフォームから届く迷惑メールは、うっとうしいだけで、侵入ではありません。たいていは、フォームがちゃんと動いているという意味です。

サイトに脆弱性が見つかったと知らせてくる、面識のない相手からのメールは、そうでないと確かめられるまでは営業メールです。中のリンクは何も押さないでください。代わりに、下の無料の確認を自分で実行してください。私たちからのメールも例外ではありません。私たちが事業者に送る文面には、ブラウザで見えたことと、それを見た日付だけを書きます。それ以外は書きません。

まじめに受け止めるべき例外が1つあります。自分でサーバーを借りて動かしている場合の、更新がもう配られなくなったソフトウェアです。使っているバージョンのサポートが終わっているなら、どれだけ気をつけても直りません。これは、計画を立てて手を打つ側のリストに入ります。

今日できる無料の確認

4つとも、サイトが何で作られていても使えます。

Google Search Console の「セキュリティと手動による対策」。何かが表示されるようにするには、一度だけサイトの所有権確認が必要です。確認は無料で、一度やれば済みます。Google が何かを検出していれば、ここに出て、対象のページ名も出ます。何も出ないのが、望ましい状態です。

Google のセーフ ブラウジング サイトステータス（transparencyreport.google.com/safe-browsing/search）。ドメインを入力します。今 Google が訪問者に警告を出しているかどうかがわかります。アクセスが急に落ちているなら、ここに警告が出ていないか見てください。出ていれば、それが理由です。

MXToolbox（mxtoolbox.com）。ドメインについて、ブラックリストの確認と SPF レコードの確認を実行します。掲載が見つかっても、動く前にまず中身を読んでください。掲載の多くは、こちらではなく、メールの提供元が共有で使っているアドレスに対するものです。聞いたこともないリストに載っていることと、Gmail や Outlook にはじかれていることは、別の話です。自分たちのメールがふつうに届いているなら、それだけ書き留めて先へ進んでください。

Have I Been Pwned（haveibeenpwned.com）。4つめの手順で書き出したリストのどれかにログインできるメールアドレスを、1つずつ入力します。ここに結果が出ても、サイトに問題があるという証拠ではありません。そのパスワードを変えて、二要素認証を入れる理由になるだけです。二要素認証は、そもそも3つめの手順です。

どこから始めるか

3つめから始めてください。ドメイン、サーバー、メールに二要素認証を入れるのは短時間で終わり、一回の作業で片づきます。しかも、残り4つの手順が前提にしているアカウントを守れます。次に、誰がアクセスできるかのリストを書いてください。私たちが、見たことのないサイトを預かるときも、この順番でやります。サイトは作り直せますが、他人のアカウントの中にあるドメインは作り直せないからです。

この午後の作業を誰かに任せたいということであれば、そういう仕事もお受けしています。どちらにしても、上のリストがリストのすべてで、終われば、そこで終わりです。