CMSの気になるセキュリティー対策

動的なホームページと静的なホームページ

通常のホームページは静的なHTMLファイルで作られています。これはアクセスするユーザーによって変更されることが無いテキスト情報（画像/cssへのリンク含む）のみを持ったファイルです。

一方、CMSツールを使ったホームページは、データベースからプログラムによってテキスト・画像情報が取り出され、ブラウザの表示が変わる『動的なホームページ』が多いです。この動的なホームページは通常のホームページよりも運営面でセキュリティに気をつけなければならないことがあります。

このような動的ホームページは悪意あるユーザーにシステムに入り込まれ操作されてしまうと、ホームページがかんたんに書き換えられてしまいます。結果、意図しない情報を表示されてしまったり、悪質なプログラムを埋め込まれ、ユーザー（お客さま）に多大な迷惑をかけてしまうこともあります。

CMSツールは最新版を使う

ほとんどのCMSツールの場合、定期的にシステムのバージョンをアップが行われています。バージョンアップされたCMSツールはセキュリティーが強化されます。セキュリティーのリスクを軽減する為にもつねに最新版のCMSツールを使うことをお勧めします。

CMSツールによってはアップデートが有料になるものもあり、場合によってはアップデートに付随する作業をWeb制作会社に依頼しなければならないこともあります。CMSはセキュリティーを含めたホームページ運営計画もCMSツール導入の前にきちんと検討することをお勧めいたします。

CMSツールの運営フロー

CMSツールを用いたホームページ運営フローでおすすめしたい手法をご紹介します。

CMSツールはテスト環境で利用

CMSツールはテストサーバーのみで利用して、公開時にテストサーバーから本サーバーへデータをコピーする手法です。その際、テストサーバーにはIP制限をかけ、特定のユーザーしかアクセスできないようにします。この手法でCMSを運用すれば、かなりのセキュリティリスクが軽減できます。

しかしながら、この手法は WordPress や Joomla! などに代表される動的ホームページを構築するCMSツールでは使えません。Movable Type など、静的ホームページを構築するCMSツールに有効な手段です。

CMSのアカウント管理には細心の注意を

CMSツールのセキュリティ管理で最も気をつけたいのはアカウント情報の管理です。アカウント情報とはCMSツールのシステムにログインするためのIDやPWのことです。

意外かもしれませんが、このアカウント情報が洩れて悪意あるユーザーにシステムを乗っ取られるケースは少なくありません。

CMSを用いたホームページ制作

テーブルの接頭辞

データベースのテーブル名もCMSツールによっては周知され、書き換えられるリスクがあるので接頭辞を変更し容易にテーブル名を想定できないようにします。

メタタグ

メタタグでどのようなCMSツールを使っているか、バージョンは何なのかを判断できる場合があります。もし外部にわかるような記述があったらすぐに削除するようにしましょう。

非公式プラグインは使わない

CMSツールによっては様々な機能拡張ができます。安易に非公式のプラグイン（拡張機能）を使うのはリスクを増大させることになります。

テーマ・プラグイン

新規インストールを基本的にはできないようにしておきます。また投稿画面などでスクリプトの実行ができないような対策も必要です。

サーバーへのアクセス

SSHでアクセス、難しい場合はSFTP または FTPS で接続するようにします。