公開中の実例
このサイトの守り方、
すべて見せます。
すべて
WordPressの専門家を名乗る以上、まず自分のサイトで示すべきだと考えました。このサイトもWordPressで動いています。どんな守りをしていて、何を防いでいるのか。ご自身で確かめられる方法と一緒に公開します。
はじめに
ここに書いているのは、守りの「仕組み」です。攻撃の手順や、弱い部分の説明ではありません。確かめ方は、どれも普通のブラウザでできる、サイトに負荷をかけない方法だけにしています。
最終更新： 2026-10-20
外から見える情報を減らす
1. WordPressのバージョンを表示しない
防いでいること
バージョンが分かると、「そのバージョンの弱点」を狙った攻撃の的になりやすくなります。ページの中に、バージョンを示す情報を出していません。
確かめ方
ページの上で右クリックして「ページのソースを表示」を開き、「generator」や「ver=」で検索してみてください。見つからないはずです。
2. 投稿者のユーザー名を探れないようにする
防いでいること
WordPressは、何もしないと投稿者のユーザー名が外から分かってしまいます。ユーザー名はログインの手がかりになるため、たどれないようにしています。
確かめ方
このサイトのアドレスの後ろに「/?author=1」を付けて開いてみてください。トップページに戻ります。
3. REST APIからユーザー一覧を出さない
防いでいること
WordPressには、外からユーザーの一覧を取り出せる窓口があります。この窓口からは何も返さないようにしています。
確かめ方
「/wp-json/wp/v2/users」を開いてみてください。「見つかりません」と表示されます。
4. 説明ファイルを置かない
防いでいること
WordPressに最初から入っている「readme.html」や「license.txt」は、使っているソフトを知らせる手がかりになります。どちらも削除しています。
確かめ方
「/readme.html」や「/license.txt」を開いてみてください。404（ページが見つかりません）になります。
5. フォルダの中身を一覧で見せない
防いでいること
サーバーの設定によっては、フォルダを開くと中のファイルが一覧で見えてしまいます。この一覧表示を止めています。
確かめ方
「/wp-content/uploads/」を開いてみてください。ファイルの一覧は表示されません。
6. フォントを自前で配信する
防いでいること
外部のフォント配信を使うと、ページを開いた方の情報がその都度外部に送られます。文字のデータはこのサイトのサーバーから配信し、Googleへの通信は発生させていません。表示も速くなります。
確かめ方
ブラウザの開発者ツール（Windowsは F12、Macは ⌘+⌥+I）の「ネットワーク」タブを開いてページを再読み込みし、「google」で絞り込んでみてください。何も出てきません。
入り口を閉じる
7. XML-RPCを止める
防いでいること
XML-RPCは、昔の連携用に用意された古い入り口です。今はほとんど使われない一方で、パスワードの総当たりなどに悪用されがちなので、止めています。
確かめ方
「/xmlrpc.php」を開いてみてください。アクセスが拒否されます。
8. 管理画面からのファイル編集を止める
防いでいること
WordPressの管理画面には、テーマやプラグインのプログラムを直接書き換える機能があります。万一ログインを破られても、ここからサイトを書き換えられないよう、機能ごと止めています。
確かめ方
管理者向けの画面のため、外からは確かめられません。説明のみとしています。
9. ログインの試行回数を制限する
防いでいること
パスワードを何度も試す攻撃を防ぐため、ログインに続けて失敗すると、しばらくログインできなくなります。また、失敗したときのメッセージは「ユーザー名かパスワードが違います」のような共通の文面にしていて、どちらが合っていたかは分かりません。
確かめ方
管理者向けの機能のため、外からの確かめ方はご案内していません。
10. 管理者の二段階認証（準備中）
防いでいること
パスワードが漏れても、本人の手元の端末がなければログインできないようにします。
確かめ方
管理者向けの機能のため、説明のみとしています。導入したら、このページでお知らせします。
通信と表示を守る
11. セキュリティヘッダーを設定する
HSTS
必ず暗号化された通信（https）でつなぐよう、ブラウザに指示します。途中で通信をのぞかれたり、すり替えられたりするのを防ぎます。
CSP（コンテンツセキュリティポリシー）
このサイトが許可した場所のプログラムだけを動かします。万一、悪意のあるコードが紛れ込んでも、動きにくくなります。
Referrer-Policy
ほかのサイトへ移るとき、どのページから来たかの情報を必要以上に渡しません。
Permissions-Policy
カメラやマイク、位置情報など、このサイトが使わない機能を最初から使えないようにします。
X-Content-Type-Options
ファイルの種類をブラウザが勝手に推測しないようにします。画像のふりをしたプログラムが動くのを防ぎます。
フレームの保護
このサイトを、ほかのサイトの中に埋め込めないようにします。見えないボタンを重ねてクリックさせる手口を防ぎます。
ブラウザに「このサイトはこう扱ってください」と伝える設定です。次のものを入れています。
確かめ方： 開発者ツールの「ネットワーク」タブでページを再読み込みし、いちばん上の項目の「レスポンスヘッダー」を見てください。もっと手軽に見るなら、securityheaders.com にこのサイトのアドレスを入れると、評価が表示されます。
12. Cloudflareを前に置く
防いでいること
サイトへのアクセスは、まずCloudflareを通ります。怪しいアクセスや大量のアクセス（DDoS攻撃）は、サーバーに届く前にここで止めます（WAF）。悪質なボットやAIの無断収集も、ここで制限しています。
確かめ方
レスポンスヘッダーに「server: cloudflare」や「cf-ray」という項目があれば、Cloudflareを通っています。
13. フォームを迷惑送信から守る（一部準備中）
防いでいること
お問い合わせフォームには、人には見えずプログラムだけが引っかかる仕掛け（ハニーポット）を入れています。Cloudflare Turnstileによる確認も準備中です。画像を選ばせるような面倒な確認はありません。
確かめ方
お問い合わせフォームの送信ボタンの近くに、Turnstileの確認表示があります。
中身を少なく、記録を残す
14. プラグインは、必要な数だけ
確かめ方
一覧そのものは外から確かめられませんが、ページのソースを開いても、このほかのプラグインの痕跡は出てこないはずです。
プラグインが増えるほど、弱点になりうる場所も増えます。このサイトで使っているものを、役割と一緒にすべて書き出します。
最後の二つは、私たちがこのサイトを作り、保守するための管理用の道具です。隠さずに書いておきます。どちらも管理者としてログインした状態でなければ使えないよう、鍵をかけています。
名前
種類
役割
Bricks
テーマ
ページのデザインと表示。重いページビルダーの代わりに使っています。
RYKIT Guard
自社製・必須プラグイン
ログイン制限、XML-RPCの停止、ユーザー名の非公開など、守りの土台です。私たちが保守するすべてのサイトで同じものを使っています。
自社製プラグイン
プラグイン
このサイトだけの設定（セキュリティヘッダー、フォント、表示の調整など）を担っています。
Polylang
プラグイン
このサイトの日本語版と英語版を切り替えるため。
Two Factor
プラグイン
管理者ログインの二段階認証のため。
FluentSMTP
プラグイン
お問い合わせなどのメールを、確実に届けるため。
xCloud xSpeed
プラグイン
ページを素早く表示するためのキャッシュです。
mcp-adapter
プラグイン
私たちがサイトを管理・更新するための道具です。
Novamira
プラグイン
同じく、サイトの制作と管理に使う道具です。
15. サーバーとは別の場所にバックアップ
防いでいること
サーバーが壊れたり、乗っ取られたりしても、元に戻せるようにします。バックアップは毎日、サーバーとは別の場所に保存し、実際に戻せるかも定期的に試しています。
確かめ方
外からは確かめられないため、最後に復元を試した日をここに記録します。
速さも、同じように公開しています
守りと同じく、表示の速さも数字で公開しています。
- Lighthouse（モバイル）パフォーマンス：95／アクセシビリティ：100
- LCP（表示までの時間）：2.3秒（モバイル想定の計測）
- 無料セキュリティ診断のスコア：100（評価A）
- 計測日： 2026-10-20
あなたのサイトは、どこまで守れていますか。
このページで紹介した項目の多くは、外からでも確かめられます。無料診断では、そうした項目をまとめて調べて、点数と分かりやすい説明でお返しします。メールアドレスの登録はいりません。