WordPressサイト監査
Scanverraはページから直接あなたのWordPressコアのバージョンを読み取り、そのうえで、世界で最も使われているCMSを運用する際につきものの、プラグインの肥大化、レンダリングをブロックするアセット、露出したエンドポイントをチェックします。
WordPressに対するチェック項目
プラグイン主導のサイトとWordPressのデフォルト設定に特化した6つのチェックです。
プラグイン・テーマのアセット肥大化
/wp-content/plugins/と/wp-content/themes/から読み込まれる積み重なったCSS・JSファイル - その多くがレンダリングをブロックし、大半がプラグインをひとつインストールするたびに増えていきます。
コアバージョンの露出
ScanverraはgeneratorメタタグからあなたのWordPressバージョンを直接読み取ります。古いバージョン番号が公開されていることは、その公開版の既知の脆弱性を狙う攻撃者にとって、事実上の標的リストになってしまいます。
wp-json REST APIの露出
REST APIはすべてのWordPressインストールでデフォルトで有効になっています。wp-json/wp/v2/usersのようなエンドポイントは、リクエストした相手にユーザー名やコンテンツ構造を漏らしてしまう可能性があります。
テーマの画像の重さ
テーマが配信するヘッダー画像やヒーロー画像が圧縮も遅延読み込みもされていないケースで、多くの場合WordPressのホームページにおけるLargest Contentful Paintの単独最大要因になります。
セキュリティヘッダーの欠落
WordPressのコア自体はHSTS、X-Frame-Options、Content Security Policyを自動では設定しません。セキュリティプラグインやサーバーレベルの設定がなければ、多くのインストールはこれらを欠いたまま公開されます。
XML-RPCの露出
xmlrpc.phpはデフォルトでアクセス可能であり、これを使っていないWordPressサイトに対するブルートフォース攻撃やDDoS増幅攻撃の標的として広く知られています。
How it works
URLの入力からバージョンを踏まえたWordPressレポートまで、たった3ステップです。
WordPressのURLを貼り付け
自己ホスト型でもマネージドホスティングでも、公開されているWordPressサイトであれば同じように動作します。
WordPressであること、そしてそのバージョンを確認
HTML内の/wp-content/、/wp-includes/、wp-jsonのパスからCMSを確認し、generatorメタタグに対する正規表現マッチによって、存在する場合はコアの正確なバージョン番号を取得します。
WordPress特化の修正提案を取得
一般的なチェックリストではなく、WordPressホスティング向けに書かれた、プラグインの肥大化・キャッシュ・ヘッダーに関するガイダンスです。
Frequently asked questions
Scanverraは私のWordPressのバージョンを検出できますか?
できます。テーマに標準のgeneratorメタタグが含まれている場合、そのタグ内のWordPress X.X.Xというパターンに対するマッチングによって正確なコアバージョンを取得し、古くなっていればそれを検出します。これは監査の中でも数少ないバージョン特化のチェックの一つです。
監査は個々のプラグインを名指しでチェックしますか?
しません - インストール済みのプラグインを列挙することはありません。ただし/wp-content/plugins/由来のレンダリングブロック型CSS・JSの肥大化は検出します。プラグインの多いサイトが最もパフォーマンススコアを落とすのは、たいていこの部分です。
/wp-json/が開いていることは常にセキュリティ上の問題ですか?
これはすべてのWordPressサイトで想定されているデフォルトの挙動なので、それ自体を問題として検出することはありません。ただし古いコアバージョンや、無防備に開かれたユーザー列挙エンドポイントと組み合わさっている場合は、確認する価値があります。
古いWordPressコアバージョンはスコアに影響しますか?
はい - 古いリリースでのバージョン露出は、他のすべてのページで確認されるパフォーマンスやSEOのカテゴリとは別の、セキュリティ関連の検出項目として扱われます。
監査に合格するためにWordPressにセキュリティプラグインは必要ですか?
文字通り必須ではありませんが、WordPressのコア自体はHSTSやX-Frame-Optionsといったヘッダーを単独では設定しません。WordPressでセキュリティヘッダーのクリーンな結果を得るには、通常プラグインやサーバー/CDN側の設定を通して追加する必要があります。
監査はxmlrpc.phpに対して攻撃を試みますか?
いいえ - 脆弱性を突く試みは行いません。ただしXML-RPCがアクセス可能で使われていないように見える場合、それを無効化することはWordPressレポートに含まれる標準的な修正提案の一つです。ブルートフォースや増幅攻撃の既知の標的であるためです。
他の技術別監査
あなたのWordPressサイトが何を露出しているか確認
バージョンの露出、プラグインの肥大化、WordPressがデフォルトで設定しないセキュリティヘッダー - スコア化・解説します。
Run free audit