XServer サイトセキュリティ対応まとめ ～ @donpy通信【796号:2026/10/16版】
サイトセキュリティなかなか手ごわいぜ・・。
[17:58] [0087:ブログ運営] サイトセキュリティ苦戦中
なかなか審査が通りませんね。現在の状況をまとめておいておきます（自分用）
XServerサイトセキュリティ対応まとめ
2026年10月15日8:31に実施した初回診断では、50ページの診断から9件の指摘が検出されました。対策後、7件は解消しています。
9件初回の指摘
7件対応済み
2件確認中
XML-RPC機能が第三者に利用される可能性
✓ 対応済み実施した対策XServerのWordPressセキュリティ設定とアクセス制限を実施。最終的にxmlrpc.phpが403になることを確認しました。
WordPressのユーザー名が特定可能
✓ 対応済み実施した対策表示名・ニックネームを見直し、REST APIや投稿者情報からのユーザー列挙を制限しました。
WordPressのログインページを特定可能
● 継続確認中実施した対策2FA、ログイン試行制限、エラー情報の一般化など、既存の防御を確認。ログインURLの変更についても検討しています。
ログイン失敗時のエラーに機密情報が含まれる
✓ 対応済み実施した対策「ユーザーが存在しない」「パスワードが違う」といった違いを判別できない共通エラーメッセージへ変更しました。
RSSフィードにWordPressユーザー名が公開される可能性
● 継続確認中確認した内容表示されている「どんぴ」はログインIDではなく、読者向けの公開表示名でした。
第三者がWordPressのユーザー登録を行える状態
✓ 対応済み実施した対策WordPressの「だれでもユーザー登録ができる」設定を無効化しました。
debug.logへ第三者がアクセスできる可能性
✓ 対応済み実施した対策WP_DEBUGを無効化し、ログファイルへの外部アクセスも制限しました。
wp-cron.phpへ第三者がアクセスできる可能性
✓ 対応済み実施した対策外部からの不要なアクセスを制限し、必要な定期処理と両立できることを確認しました。
WordPressのreadme.htmlへ第三者がアクセス可能
✓ 対応済み実施した対策readme.htmlとreadme-ja.htmlへのアクセスを制限し、403になることを確認しました。
ディスカッション
コメント一覧
まだ、コメントがありません