ウェブサイトを保護する方法

このWikiHowでは、ウェブサイトを攻撃から確実に保護する方法をご紹介します。SSL証明書とHTTPSを使用することは、アドレスを保護する最も簡単な方法ですが、ハッカーやマルウェアによるWebサイトの侵害を防ぐために他にもできることがいくつかあります。

1

ウェブサイトを常に最新の状態に保つ。ウェブサイトのソフトウェア、セキュリティ、スクリプトを必要なときに更新しないことは、侵入者やマルウェアにサイトを利用させる確実な方法です。

• これは、ウェブサイトのホスティングサービスからのパッチも同様です（該当する場合）。ウェブサイトのアップデートがあれば、できるだけ早くインストールしましょう。
• また、サイトの証明書も常に最新の状態にしておく必要があります。これはウェブサイトのセキュリティには直接影響しませんが、ウェブサイトが検索エンジンに表示され続けることを保証します。

2

セキュリティソフトウェアやプラグインを使用する。ウェブサイトを常時保護するために加入できるファイアウォールは何種類かあり、WordPressのようなウェブサイトホスティングサービスはセキュリティプラグインも提供していることが多い。アンチウイルスプログラムでコンピュータを保護するのと同じように、セキュリティソフトウェアでウェブサイトを保護するのが賢明です。

• Sucuri Firewallは良い有料オプションであり、WordPress、Weebly、Wix、その他のホスティングサービス用の無料のファイアウォールやセキュリティプラグインを見つけることができるはずです。
• ウェブサイト・アプリケーション・ファイアウォール（WAF）は通常クラウドベースなので、使用するためにコンピュータにソフトウェアをダウンロードする必要はない。

3

ユーザーがファイルをアップロードできないようにする。ウェブサイトへのファイルのアップロードを許可すると、自動的にセキュリティの脆弱性が生じます。可能であれば、ウェブサイトユーザーがファイルをアップロードできるフォームやエリアを削除しましょう。

• アップロードを許可するフォームを1つのファイルタイプ（例えば、写真の場合はJPG）だけに制限することも、この問題の解決策の1つです。
• これは、カバーレターの提出などをウェブページのフォームに依存しているウェブサイトでは厄介なことです。提出用のEメールアドレスを設定し、そのアドレスを「連絡先」ページに追加することで、ユーザーがファイルをウェブサイトにアップロードするのではなく、Eメールで送信できるようにすることで、この問題を回避することができます。

4

SSL証明書をインストールする。SSL証明書は基本的に、あなたのウェブサイトが安全で、サーバーとユーザーのブラウザ間で暗号化された情報をやり取りできることを確認するものです。通常、SSL証明書を維持するために年会費を支払う必要があります。

• 有料のSSL配布オプションには、GoGetSSLとSSLs.comがあります。
• Let's Encrypt」と呼ばれる無料サービスでもSSL証明書を発行することができます。
• SSL証明書を選択する際、ドメインバリデーション、ビジネスバリデーション、拡張バリデーションの3つのオプションがあります。ビジネス・バリデーションと拡張バリデーションの両方が、サイトのURLの横に緑色の「Secure」バーを表示するためにGoogleによって要求されます。

5

HTTPS暗号化を使用する。SSL証明書をインストールしたら、ウェブサイトはHTTPS暗号化の対象となるはずです。通常、ウェブサイトの「証明書」セクションにSSL証明書をインストールすることで、HTTPS暗号化を有効にできます。

• WordPressやWeeblyなどのウェブサイト・プラットフォームを使用している場合、ウェブサイトはすでにHTTPSを使用していると思われます。
• HTTPS証明書は1年ごとに更新する必要があります。

6

.管理者レベルのサイト・アスペクトにユニークなパスワードを使うだけでは十分ではありません。他のどこにも複製されない複雑でランダムなパスワードを考え、そのキーをウェブサイトのディレクトリ外のどこかに保存する必要があります。

• 例えば、16桁の文字と数字を組み合わせたものをパスワードとして使用することができます。そして、そのパスワードを別のコンピュータやハードドライブ上のオフラインファイルに保存することができる。

7

管理フォルダを隠す。ウェブサイトの機密ファイルのフォルダに「admin」や「root」という名前をつけるのは便利ですが、残念ながら、これはあなたにとってもハッカーにとっても同じことです。これらのファイルの場所の名前を退屈なもの（例えば、"New folder (2) "や "history"）に変更すると、攻撃者になりそうな人があなたのファイルを見つけるのが難しくなります。

8

エラーメッセージはシンプルに。エラーメッセージに多くの情報が含まれていると、ハッカーやマルウェアはその情報を悪用して、ウェブサイトのルートディレクトリなどを見つけ、アクセスすることができます。ウェブサイトのエラーメッセージに明確な詳細を追加する代わりに、簡潔な謝罪とメインウェブサイトへのリンクを提供することを検討してください。

• これは、404エラーから500タイプのサーバーコードまで、あらゆるエラーに当てはまります。

9

パスワードは常にハッシュ化する。ウェブサイトにユーザーのパスワードを保存する場合は、必ずハッシュ化した形式で保存しましょう。新しいウェブサイトの所有者にありがちな間違いは、パスワードをプレーンテキスト形式で保存することで、ハッカーがファイルを見つけることに成功した場合、パスワードが簡単に盗まれてしまいます。

• ツイッターのような多作なサイトでさえ、過去にこの誤りを犯している。

この記事は、CC BY-NC-SAの下で公開された「 How to Secure Your Website 」を改変して作成されました。特に断りのない限り、CC BY-NC-SAの下で利用可能です。