H2O space WordPressで、ECサイトを構築できるWooCommerceや、お問い合わせフォームの内容を管理画面から確認できるプラグインなどは非常に便利です。しかし、同時に個人情報がWordPress内のデータベースに蓄積されてしまうため、かなり安全性を考慮して構築をしないと、個人情報の流出につながる可能性があります。
H2O spaceのaquanotes Serverでは、このような個人情報に関するサーバーはautomatic社が運用するWordPress.comをおすすめしています。（弊社のWebサイト（https://h2o-space.com）、およびともすた（https://tomosta.jp）もWordPress.comで運用されております。
WordPress.comとは
「WordPress」は実は厳密には二種類が存在しています。1つが、一般的によく利用されているオープンソースの「WordPress」。これは、世界中の開発者が開発に参加して作り上げられているプログラムで、誰でもプログラムを手に入れて、自分のWebサーバーにインストールすることができます。レンタルサーバーなどで、WordPressが最初から使える状態になっているものなどは、このオープンソースのWordPressをあらかじめインストールして利用できるようになっています。
そしてもう1つが、Automattic社が提供するレンタルサービスである「WordPress.com」です。WordPress.com上のWordPressは特別なカスタマイズが施されていて、ここでしか利用できないような機能が提供されています。また、WordPress専用の高い安全対策も施されており、安全な環境でWebサイトを運用することができます。
Automattic社は、WordPressを最初に開発したマット・マレンウィッグ氏が創業したWordPress開発・ホスティング会社です。WordPress.comの運用や開発の他、AkismetやJetpack、Gravatarなどの開発などを行っていて、TumblrやSimplenote、Day Oneなどの開発会社を買収するなどして事業を拡大しています。
WordPress.comの安全対策
WordPress.comには、次のような安全対策が施されています。
管理画面への2段階認証
WordPress.com上のWordPressにログインする場合、標準でWordPress.comで発行される特別なアカウントでのログインがサポートされています。このログインには、認証アプリを利用した二段階認証も設定でき、またGoogleやAppleアカウントと連携をしたログインをする事ができます。
一般的なWordPressに比べて、非常に安全なログイン認証が提供されます。（一般的なWordPressの場合は、JetPackとの組み合わせが必要です）
SSH/phpMyAdminの無効化
WordPressのデータは、「MySQL」または「MariaDB」というデータベースに保管されます。そして、一般的なレンタルサーバーはこのデータベースにログインが可能な「phpMyAdmin」というツールが提供されています。このツールは、アカウントやパスワードが万が一漏れてしまうと、インターネット上のどこからでも接続が可能となるため、ここから情報が漏えいする危険性があります。
WordPress.comの場合、このphpMyAdminやフルコントロールが可能となる「SSH」を起動しないようにする設定ができます。また、利用する場合も利用するときにだけ起動をして、利用し終わったら終了することができます。これにより、不用意なログインを防ぐことができ、安全性を保つ事ができます。
WordPress向けにチューニングされたWebサーバー
WordPress.comはその名の通り、WordPress専用に構築されたWebサーバーです。次のような安全対策が施されています。（ビジネスプラン以上、一部別料金の場合もあります）
- 総当たり攻撃からの保護
- スパムコメント対策
- WAF（Webアプリケーションファイアウォール）
- 分離されたサイトインフラストラクチャ
- 管理されたマルウェア保護
- DDoS攻撃の軽減
H2O spaceでは、この環境を利用してさらに次のような安全対策を施し、運用をお手伝いしております。
- SiteGuardプラグインのインストールと適切な設定
- 月に1度の手動によるバックアップおよび、全プラグインのアップデートと表示確認
ECサイトの運用や、個人情報を扱うサイト制作をお考えの方は、是非WordPress.comを利用した「ECプラン」をご検討頂けると幸いです。
