🔍 保守中のWordPressサイトを一斉検証しました
WordPressサイト50件超を一斉検証して分かった
「見えない穴」4つと直し方
ホームページは、普通に表示されていればひと安心、と思いがちです。しかし、セキュリティの状態は見た目では分かりません。
💡 先に結論
アポロン7が保守を担当しているWordPressサイト50件超を、2026年11月に同じ基準で検証したところ、ほぼすべてのサイトに、何かしらの「見えない穴」がありました。手抜きではなく、WordPressの標準の状態や、数年前には問題なかった設定がそのまま残っているだけです。
今回検証した4つのポイント
専門知識がなくても外から確認できる部分だけを、読み取り専用で調べました。サイトの内容を書き換えたり、ログインを試したりはしていません。
☑️ ① HTTPS(http から https への自動転送)
☑️ ② HSTS(ブラウザに「常にHTTPSで」と覚えさせる設定)
☑️ ③ サイトマップにユーザー一覧が載っていないか
☑️ ④ REST API(情報の取り出し口)からユーザー情報が見えないか
① HTTPS:全サイトで問題なし
「http://」で来た人を、暗号化された「https://」へ自動で移せているかを、wwwあり・なしの両方で確認しました。
✅ 結果:ここは多くのページが対応済みで、全サイトで問題ありませんでした。
② HSTS:未設定のサイトが多く、順次追加
HTTPSにしていても、初めて訪れたときの1回だけ、暗号化されない通信が通る隙があります。HSTSは、これをブラウザ側で塞ぐ設定です。
💡 注意:いきなり1年間(31536000秒)で設定すると、万一の問題が起きたときに戻せません。そのため、まず1日など短い期間で試し、問題がなければ1年へ延ばす段階式で進めています。
③ サイトマップのユーザー一覧
WordPressは初期状態で、投稿者の一覧がサイトマップに出ることがあります。投稿者の名前がログインIDと同じ場合、ログイン画面を狙う人にIDの半分を教えているのと同じです。
✅ 結果:投稿者ページや投稿者サイトマップを無効にするなどして、多くのサイトで対処しました。
④ REST APIからのユーザー情報:最も見落とされやすい穴
WordPressは、プログラムから情報を取り出す窓口(REST API)を標準で開けています。ここに、表示名だけでなくログインIDと同じ値(スラッグ)が出てしまうことがあります。
⚠️ ユーザー一覧を閉じても安心できません
記事のデータの中に投稿者情報が埋め込まれているため、ユーザー一覧のページを閉じていても、記事のデータ経由でIDが分かってしまうケースがありました。検証したサイトの大半で、何らかの形でユーザー名に関わる情報が出ていました。
対処は、サイトごとに次のような方法から選びます。
- ブログ上の表示名を、ログインIDと違うものに変える
- テーマ側の設定で、ログインしていない人には値を空にして返す
- ユーザー一覧へのアクセス自体を拒否する
なぜ「ユーザー名の漏えい」が問題なのか
ログインに必要なのは「ID」と「パスワード」です。IDが分かれば、攻撃する側はパスワードを機械的に試し続けるだけで済みます。IDを隠すのは、「鍵穴の場所を教えない」対策です。強いパスワードとセットで効果を発揮します。
検証して分かった3つのこと
1. 「見た目が普通」は安全の証拠にならない
外から見える穴は、画面を見ただけでは分かりません。
2. 一度直しても、更新や設定変更で元に戻ることがある
点検は1回で終わらせず、定期的に行うことが大切です。
3. 直し方は1つではない
表示名の変更で済む場合と、テーマに手を入れる場合があります。サイトごとに、安全に元へ戻せる方法を選びます。
ご自身のサイトを確認するなら
次の3つは、ブラウザで開いて見るだけです。サイトを壊す心配はありません。
☑️ https://自分のドメイン/wp-json/wp/v2/users を開く
→ ユーザーの情報が表示されたら要注意
☑️ https://自分のドメイン/?author=1 を開く
→ 投稿者ページに移動したら要注意
☑️ アドレス欄が「http://」のままで開けてしまわないか確認する
📌 この記事の要点
見た目では分からない穴がある/ユーザー名(ログインID)を隠す/設定は一度で終わらせず定期点検する
こんなときはご相談ください
- ホームページを作ってくれた会社と連絡が取れなくなった
- 保守を頼んでいるが、何をどこまで見てもらっているか分からない
- ホームページからの問い合わせが多く、止まると困る
アポロン7では、外から見えるセキュリティの状態を読み取り専用で点検し、結果を分かりやすい言葉でご報告しています。まずは現状の確認だけでも、お気軽にご相談ください。
