要約：WooCommerceセキュリティを13ステップで解説
ほとんどのストアは、すでに知られている脆弱性から侵入されます。これらのステップは、一般的な脆弱性を、私が実行するであろう順序でおおよそ閉じていきます。
- すべてをアップデートする – 古いプラグインとテーマは最も一般的な侵入経路です。
- ログインをロックする – 強力なパスワード、二要素認証、ログイン制限により、パスワード推測を防ぎます。
- SSLをオンにする – お客様から送信される連絡先や支払い情報を含むデータを暗号化します。
- カードデータはStripeまたはPayPalに保持させる – ほとんどのPCIルールから除外されます。
- オフサイトにバックアップする – バックアップは何も防ぎませんが、復旧の方法です。
- 各ステップが何をしないかを理解する – ログインページを移動するとボットのノイズが減ります。パスワード推測を防ぐことはできません。
WooCommerceはデフォルトで安全ですが、だからといってあなたのストアが安全だとは限りません。いくつかの追加手順を踏まないと、偽の登録、ログインページを攻撃するボット、またはあなた自身がダッシュボードからロックアウトされる可能性があります。
私が管理していたストアでそれが起こり始めたとき、すべてが正しく設定されているように見えたので、何を見落としたのか分かりませんでした。それが厄介な点です。ストアは表面上は完全に正常に見えても、そのバックエンドは丸裸のままになっている可能性があります。
WooCommerceのセキュリティは、オンにする一つの設定ではありません。それは、ほとんどがそれぞれ5分程度で終わる、いくつかの簡単な作業の集まりです。
より難しい質問は、どれが実際に重要かということです。なぜなら、最も頻繁に繰り返されるヒントのいくつかは、見た目ほどあなたを守ってくれないからです。以下の各ステップについて率直に説明しました。短いバージョンが必要な場合は、下に要約テーブルがあります。
目次
- 1. 強力なホスティングプロバイダーを使用する
- 2. 常にSSL（HTTPS）を使用する
- 3. WordPress、プラグイン、テーマを常に最新の状態に保つ
- 4. 強力なパスワードと二要素認証を使用する
- 5. ログイン試行回数を制限し、CAPTCHAを追加する
- 6. セキュリティプラグインをインストールする
- 7. カスタムWooCommerceログインURLを使用する
- 8. WooCommerceチェックアウトを保護する
- 9. 定期的にサイトをバックアップする
- 10. 正しいユーザーロールを設定する
- 11. wp-adminを非表示にし、XML-RPCを無効にする
- 12. 不審なアクティビティがないかサイトを監視する
- 13. PCIコンプライアンスを理解する
- 各ステップが実際にあなたを守るもの
- WooCommerceのセキュリティに関するよくある質問
WooCommerceサイトを安全にする理由
WooCommerceは400万以上のライブストアを支えています。その人気の高さは、ハッカーやボットが脆弱な場所を探す際の一般的な標的となります。
ストアが適切に保護されていない場合、技術的な問題以上のリスクを負うことになります。顧客の信頼を失ったり、売上を逃したり、さらには検索エンジンやブラウザから安全でないとフラグを付けられたりする可能性があります。
セキュリティの問題は、偽の注文、アカウントのロック、ダウンタイムにつながる可能性があり、これらすべてがあなたの評判と収益に悪影響を与えます。
ストアを守るためにセキュリティ専門家である必要はありません。いくつかの簡単な手順で最も一般的な穴を塞ぐことができます。そして、それらのどれもコードを必要としません。
WooCommerceサイトを安全にするためのステップ
ワンクリックで解決する方法はありませんが、理にかなった順序はあります。リストを順番に進んでください。途中でやめたとしても、実際に使われている穴は塞がれているでしょう。
1. 強力なホスティングプロバイダーを使用する
優れたホスティングは、速度やストレージだけではありません。それはあなたの最初のセキュリティ層です。
ホストが基本的な保護を提供していない場合、あなたが設定した他のすべてが危険にさらされます。サーバーレベルでブロックされるべきマルウェア、または最も必要とされたときにバックアップがなかったためにダウンしたサイトを数多く見てきました。
私が常に探しているのは次のとおりです。
- 無料SSL
- 毎日のオフサイトバックアップ
- マルウェアスキャン
- アクティブなファイアウォール
SiteGroundとBluehostで信頼できる結果を得ています。これらはバックグラウンドで基本的なことを処理してくれるので、ストアに集中できます。
長所と短所については、WordPressホスティングの選び方で説明しています。
2. 常にSSL（HTTPS）を使用する
SSLは、パスワード、支払い情報、連絡先などの顧客がサイトと共有するデータを保護します。すべてを暗号化するため、誰も傍受できません。
多くの優れたホストはLet’s Encryptを通じて無料のSSLを含んでいますが、ホスティングダッシュボードで手動で有効にする必要がある場合もあります。それでもうまくいかない場合は、無料プラグインのReally Simple SSLが対応してくれます。
ブラウザのアドレスバーに南京錠のアイコンが表示されない場合は、何かが正しく設定されておらず、訪問者に気づかれます。
知っておくと良いことの一つ：SSLは転送中のデータを保護しますが、サーバー上にあるものには何も影響しません。必要ですが、十分ではありません。
3. WordPress、プラグイン、テーマを常に最新の状態に保つ
ほとんどのハッキングは、何かが最新の状態でないために発生します。プラグイン、テーマ、あるいはWordPress自体である可能性があります。
アップデートにはセキュリティ修正が含まれることが多いため、スキップすると既知の問題が攻撃者に開かれたままになります。
私が管理しているストアでは、WooCommerce、テーマ、そしてサイトが実際に依存しているWordPressプラグインの自動更新をオンにしています。週に一度、何も見落とされていないか確認します。
プラグインやテーマをもう使用していない場合は、完全に削除します。無効化されたものでさえリスクとなる可能性があります。
数分しかかかりませんが、サイトを安全に保つ上で大きな違いを生みます。
4. 強力なパスワードと二要素認証を使用する
弱いパスワードは、ボットがサイトに侵入する最も簡単な方法の1つです。単純なものを使用しているか、まだ「admin」としてログインしている場合は、変更する時期です。
二要素認証（2FA）は、ログインにセキュリティの追加レイヤーを提供します。パスワードを入力した後、通常は携帯電話またはメールに送信される2番目のコードを提供する必要があります。
これにより、ハッカーがパスワードを盗んだとしても、2番目の確認ステップなしではサイトにアクセスできません。不正アクセスやブルートフォース攻撃を停止する最善の方法の1つです。
WP 2FA、Duo、Wordfence Login Securityのようなプラグインは、すべて数分でこれを設定できます。
このリスト全体から一つだけ行うとしたら、これにします。二要素認証は、パスワードが漏洩した後でもあなたを守る唯一のステップです。パスワードは、あなたの漏洩ではなく、他人の侵害によって漏洩します。
5. ログイン試行回数を制限し、CAPTCHAを追加する
ブルートフォース攻撃は、ボットが数千回ユーザー名とパスワードを推測してサイトに侵入しようとする場合に発生します。これらの自動試行はログインページを圧倒する可能性があり、パスワードが弱い場合は成功します。
ログイン制限は解決策であり、パスワード推測に対してこのリストの中で最も効果的な単一のものです。なぜなら、攻撃者の唯一の実際の利点である「再試行できる」という能力を奪うからです。Limit Login Attempts Reloadedは、最も頻繁に推奨されるもので、数回の失敗後にアドレスをロックアウトします。
また、ログインページ、チェックアウトフォーム、お問い合わせフォームにCAPTCHAを追加して、ボットが偽のアカウントを作成したり、スパムを送信したりするのを防ぎます。
Cloudflare Turnstileは、バックグラウンドで実行され、実際のユーザーを遅くしないため、うまく機能します。WPFormsは、フォームに使用している場合、組み込みのCAPTCHAも提供します。
ほとんど気づきませんが、あなたに届く前に静かにジャンクをフィルタリングします。
6. セキュリティプラグインをインストールする
優れたセキュリティプラグインは、ログインしていないときでも脅威を排除するためにバックグラウンドで機能します。不審なトラフィックをブロックしたり、マルウェアをスキャンしたり、何か異常があれば警告したりできます。
Wordfence、Sucuri、Kadence Securityは、私が最も時間を費やしてきた3つです。すべて無料ティアがあり、スキャンとファイアウォールをカバーしています。必要に応じて後でアップグレードできます。
Kadence Securityは、古いガイドを読んだことがある場合、注意する価値があります。なぜなら、iThemes Securityとして知っていたかもしれませんが、Solid Securityに改名され、その後再度移動したため、2023年のチュートリアルでの名前は今日のプラグインディレクトリの名前とは異なるからです。
すべてを導入する必要はありません。1つ選んで実行するだけです。ほとんどのプラグインは簡単なウィザードでセットアップを案内し、有効になるとログインレポート、スキャン結果、その他の役立つアップデートが表示され始めます。
完全なチェックリストについては、WordPressサイトをハッカーから保護する方法を参照してください。
7. カスタムWooCommerceログインURLを使用する
ほとんどのWordPressサイトは、ログインを /wp-login.php または /wp-admin にしていますが、インターネット上のすべてのボットが両方の場所を知っています。あなたの場所をあまり目立たない場所に移動すると、それにヒットするジャンクトラフィックの多くが削減されます。
SeedProdはWordPress用のドラッグ＆ドロップウェブサイトビルダーであり、そのログインページモードを使用すると、コードに触れることなく、選択したアドレスでログイン画面をデザインできます。私が管理したストアでは、その見た目が実際の価値でした。クライアントは、グレーのWordPressデフォルトではなく、ブランドに合ったページを手に入れることができました。
ただし、ログインページを移動しても古いページは無効にならないため、これは問題になります。
ブランド化されたログインページではできないこと：古いログインアドレスへの訪問者は新しいページに転送されますが、古いアドレスは引き続きログイン試行を受け付けるため、ボットは新しいページを見つけることなくそこでパスワードを推測し続けることができます。これはSeedProd Pro 6.20.9で確認しましたが、ログインフォームが同じアドレスに送信され、それをブロックするとあなたもロックアウトされるため、意図的なものです。
したがって、カスタムログインページは持つ価値があります。ただし、それは誰かを締め出すものではなく、その仕事をする2つのステップは、ステップ5のログイン制限とステップ4の二要素認証です。
ログインフォームを古いアドレスから完全に削除したい場合は、WordPress管理ログインURLを変更する方法に関するガイドで、SeedProdルートと並んで、それを実行する手動の方法を説明しています。
新しいログインリンクをブックマークして、アクセスを失わないようにしてください。
8. WooCommerceチェックアウトを保護する
チェックアウトページは、顧客が最も機密性の高い情報を共有する場所です。不審に見えたり、安全だと感じられなかったりすると、人々は購入を完了する前に離れてしまいます。
StripeやPayPalのような確立された支払いプロバイダーを使用してください。それらは独自のシステムで暗号化と不正行為のチェックを処理するため、カード番号がサーバーに触れることはなく、あなたがそれらを保護する必要もありません。
追加機能でカスタムチェックアウトページを作成することもできます。
ただし、チェックアウトページが次のことを確認してください。
- HTTPSを使用している
- 決済プロバイダーからの信頼バッジが含まれている
- サイトのデザインと一致している
訪問者がページを再考させる可能性のあるリダイレクトやレイアウトの変更を避ける。
ゼロから支払いを設定する場合は、WordPressページに支払いゲートウェイを接続する方法を説明します。
9. 定期的にサイトをバックアップする
強力なセキュリティがあっても、問題が発生する可能性があります。悪いプラグインアップデート、簡単なミス、またはマルウェア攻撃により、警告なしにストアがオフラインになる可能性があります。
だからこそ、バックアップは私のコアセキュリティ設定の一部なのです。問題が発生してからバックアップを開始するのではなく、事前にバックアップしています。
私はこれにDuplicatorを使用しており、スケジュールを設定しているので、覚える必要はありません。ファイル、データベース、設定を1つのダウンロード可能なファイルにパッケージ化します。
バックアップは常にオフサイト（Google DriveやDropboxなど）に保存しています。これにより、ホスティングサーバーに問題が発生した場合でも安全です。
忙しいストアの場合は、毎日バックアップするのが最適です。小規模または新しいサイトは、通常、毎週バックアップで十分ですが、定期的に行うことが重要です。
優れたバックアップがあれば、最初からやり直すことなく迅速に復旧できます。
完全な手順については、WordPressサイトをバックアップする方法のガイドを参照してください。
10. 正しいユーザーロールを設定する
WordPressダッシュボードへのフルアクセスが必要なユーザーは限られています。間違った人に管理者権限を与えると、コンテンツの削除やセキュリティの問題など、深刻な事態を招く可能性があります。
私が管理したストアでは、管理者はサイト全体を任された信頼できる人にのみ割り当てられ、注文を処理するすべての人は代わりにショップマネージャーを受け取りました。
これにより、プラグインやサイトの設定を変更させずに、注文や商品に対する管理権限を付与できます。コンテンツ作成のみをサポートする人の場合は、エディターロールがより適しています。
WordPressにはデフォルトでいくつかのユーザーロールがあり、それぞれに独自の権限セットがあります。最初から適切なロールを選択することで、サイトをより安全で管理しやすく保つことができます。
数ヶ月ごとにユーザーリストを確認し、サインインしたことのないアカウントを削除してください。2年前に仕事を終えた開発者が所有していた休眠中の管理者アカウントは、ストアへの侵入の最も簡単な方法の1つですが、何も壊れていないため誰もそれに気づきません。
さらに進んで、WordPressサイトの一部にパスワード保護を設定することで、アクセスをさらに制限できます。
11. wp-adminを非表示にし、XML-RPCを無効にする
自動攻撃の最も一般的なターゲットの2つは、ログインページとXML-RPCと呼ばれるWordPressの機能です。
XML-RPCは、WordPressがアプリやサービス（WordPressモバイルアプリやJetpackプラグインなど）がサイトとリモートで通信できるように使用するシステムです。残念ながら、ハッカーはこれを悪用して悪意のあるリクエストでサイトを過負荷にしたり、侵入を試みたりすることがよくあります。
これら2つは分離する価値があります。なぜなら、それらは同じ大きさの勝利ではないからです。XML-RPCをオフにすると、攻撃者が単一のリクエストで多くのパスワードを試すことができ、サイトをフラッドするために使用できるため、実際の攻撃ルートが閉じられます。
ログインエリアを非表示にすることは、2つのうち小さい方です。自動化されたトラフィックを静かにしますが、ステップ7と同様に、古いログインアドレスでパスワードを試行し続けるボットは影響を受けずに続行します。
WordPressモバイルアプリまたはJetpackを使用している場合は、XML-RPCを無効にする前に確認してください。どちらもそれに依存しているためです。ステップ6のセキュリティプラグインのいずれかを使用すると、トグルで両方の設定を処理できるため、ファイルを編集する必要はありません。
12. 不審なアクティビティがないかサイトを監視する
セキュリティは、一度設定すれば終わりではありません。裏で何が起こっているかを常に監視する必要があります。
ログイン試行の失敗やファイル変更などの重要なイベントに対して、メールアラートを受け取ります。WordfenceとSucuriの両方がこれを提供しており、異常が発生した場合はすぐに通知してくれます。
トラフィックを監視することも役立ちます。MonsterInsightsは、WordPress向けの人気のGoogle Analyticsプラグインで、訪問者を簡単に追跡できます。ボット攻撃やスパムの兆候となる可能性のある突然の急増や奇妙な参照元を特定するのに役立ちます。
バックアップとして、月に約1回、サイトをGoogleセーフブラウジングとVirusTotalでスキャンします。これらのツールはマルウェアやブラックリストをスキャンするため、必要に応じて迅速に対応できます。
13. PCIコンプライアンスを理解する
クレジットカード決済を受け付ける場合は、店舗はPCIコンプライアンスの規則に従う必要があります。これらの基準は、支払いデータを保護し、顧客を安全に保ちます。
StripeやPayPalのような支払いプロバイダーはPCIレベル1に準拠しているため、要件のほとんどを代わりに負担してくれます。
つまり、機密性の高い支払い情報をサイトに保存する必要がなくなり、リスクが軽減されます。
小規模な店舗であれば、カード番号を自分で扱わない限り、PCIについてあまり心配する必要はありません。カード情報をキャプチャするものを自分のサイトにインストールした瞬間に、それは本当に厄介な問題になります。私はその一線を越えないようにします。
ボーナス：プライバシーポリシーと利用規約ページを追加する
ストアにプライバシーポリシーと利用規約ページがあることは、顧客との信頼を築きます。顧客のデータを真剣に扱い、規則に従っていることを示します。
ほとんどの国では、個人情報を収集したり、支払い処理を行ったりする場合、法律でこれらのページが義務付けられています。始めたばかりの場合でも、追加することであなたとあなたのビジネスを守ることができます。
WordPressのテンプレートやプラグインを使えば、これらのページを簡単に作成できます。オンラインツールで生成することも可能です。
初心者向けのガイドについては、WordPressのプライバシーポリシーの作成方法に関する私の投稿をご覧ください。
各ステップが実際にあなたを守るもの
セキュリティリストは、すべての項目を同じくらい緊急であるかのように提示する傾向があり、その結果、人々は簡単な見た目のものを選んでしまい、重要な2つをスキップしてしまいます。ここでは、まったく保護にならないステップも含めて、正直なバージョンを紹介します。
| ステップ | 何を防ぐか | 何を防がないか |
|---|---|---|
| 1. 強力なホスティング | サーバーレベルのマルウェア、およびWordPressに到達する前に大量の不正なトラフィック | 有効なログインを通じて届くもの |
| 2. SSL (HTTPS) | 移動中に顧客データを読み取る人 | すでにサーバー上にあるもの |
| 3. 更新 | 公知であり、すでにパッチが適用されている脆弱性への攻撃 | 弱いパスワード、およびまだパッチが適用されていないもの |
| 4. パスワード + 2FA | 推測されたり盗まれたりしたパスワードを使用したログイン | 脆弱なプラグインコード |
| 5. ログイン制限 + CAPTCHA | 大量のパスワード推測、偽の登録、フォームスパム | すでに正しいパスワードを持っている人 |
| 6. セキュリティプラグイン | 既知の不正トラフィック、およびファイルが変更されたときに通知してくれる | バックアップではない |
| 7. カスタムログインページ | 大量のボットトラフィック、およびブランドに見える | 古いログインアドレスへのパスワード推測 |
| 8. チェックアウト時のStripeまたはPayPal | カード番号を自分で保持すること | 顧客のアカウントを乗っ取ること |
| 9. バックアップ | なし。これが後で復旧する方法です | あらゆる攻撃、常に |
| 10. ユーザーロール | 偶発的な損害、および職務に必要な範囲を超えるアクセス | 外部からの攻撃 |
| 11. XML-RPCを無効にする | 1回の要求あたりの多数のパスワード試行、および1つのフラッディングルート | ログインフォームでの通常のパスワード推測 |
| 12. モニタリング | いいえ。問題が気づかれずに放置される時間を短縮します | あらゆる攻撃 |
| 13. PCIコンプライアンス | カードデータを自分で保持することによる責任 | これは技術的な制御ではなく、ルールのセットです |
3列目を下に読み進めると、優先順位が自然に決まります。ステップ3、4、5が最も重要な作業であり、今週20分しか時間がなければ、そこに費やしてください。
WooCommerceのセキュリティに関するよくある質問
WooCommerceは安全に使用できますか？
はい。WooCommerceはAutomatticによって保守されており、セキュリティパッチは迅速にリリースされ、コアプラグインが原因でストアが侵害されることはめったにありません。脆弱性はほとんどの場合、その周辺にあります。それは、古い拡張機能、使い回された管理者パスワード、またはファイアウォールがないホストです。
WooCommerceの最適なセキュリティプラグインは何ですか？
これに対する唯一の答えはありません。Wordfence、Sucuri、Kadence Securityはそれぞれ小規模ストアの基本をカバーします。どの程度自分で考えたいかによって選択してください。Wordfenceは最も詳細な情報を提供し、Sucuriはまず独自のネットワークでトラフィックをフィルタリングします。2つを同時に実行すると、解決する問題よりも多くの問題が発生します。
WooCommerceは顧客データを暗号化しますか？
それ自体ではしません。WooCommerceは、名前、住所、注文履歴をデータベースに通常のテキストとして保存するため、SSLはそのデータを転送中に保護し、ホスティングとログインはそのデータを保存中に保護します。カード番号は例外です。StripeとPayPalがそれらを保持し、ストアはそれらを受け取ることはありません。
WooCommerceサイトがハッキングされたかどうかはどうすればわかりますか？
コンテンツが勝手に変更されたり、検索トラフィックが急激に減少したり、作成していないユーザーアカウントが表示されたり、ブラウザの警告をお客様が報告したりしていないか注意してください。セキュリティプラグインのファイル変更アラートは、通常、お客様が気づく前に通知してくれるため、有効にする主な理由となります。
プラグインなしでWooCommerceストアを保護できますか？
部分的には可能です。強力なパスワード、正しいユーザーロール、適切なホスティング、SSL証明書はプラグインを必要とせず、一般的な脆弱性のほとんどを閉じます。マルウェアスキャン、ファイアウォールルール、ログイン制限は手動で実行するのが非常に難しい部分であるため、ほとんどのストアはこれらの3つのジョブをカバーする1つのプラグインを使用することになります。
ストアを安全に保つための最終的なヒント
これらのどれも専門家を必要としませんし、今日中にすべて13個を完了する必要もありません。もし3つ選ぶとしたら、アップデート、ログイン制限、二要素認証です。なぜなら、これら3つで実際に発生するリスクのほとんどをカバーできるからです。
ログインページとチェックアウトページをストアの他の部分と一致させたい場合は、今日SeedProdで、ファイルを一切編集せずに両方を構築できます。
その間に、以下のWooCommerceガイドも役立つかもしれません：
お読みいただきありがとうございます！皆様のご意見をお聞かせいただければ幸いです。お気軽に会話にご参加ください YouTube, X および Facebook で、ビジネスを成長させるための役立つアドバイスやコンテンツをさらにご覧ください。
