「自分のWordPressサイトがどのくらい安全か確認したい」という需要は多いですが、プラグインをインストールしないと診断できないツールがほとんどです。URLを入力するだけで外部から診断できるツールを作りました。インストール不要、無料です。
WordPressセキュリティ外部診断ツール
URLを入力するだけで、外部から確認できる17項目のセキュリティをスコア診断します。診断結果は1〜100点のスコアで表示され、問題のある項目は具体的な内容が表示されます。
診断できる17項目
・SSL/HTTPS証明書
・HTTP→HTTPSリダイレクト
・セキュリティヘッダー（X-Frame-Options・X-Content-Type-Options・XSS対策）
・WordPressバージョンの露出
・readme.htmlの存在
・XMLRPCへのアクセス
・ログインURLがデフォルトかどうか
・REST APIのユーザー情報公開
・ユーザー列挙攻撃への対策
・wp-includesへの直接アクセス
・wp-config.phpへのアクセス
・wp-cron.phpへの外部アクセス
・Pingbackの設定
・管理画面へのアクセス制限
・SPFレコード（メールセキュリティ）
・DMARCレコード
・レスポンス速度
外部診断でわかること・わからないこと
このツールはサーバーの外部から確認できる項目のみを診断します。インストール不要で使えますが、確認できない項目もあります。
外部から確認できない項目を含む25項目の詳細診断には、WordPressプラグインのAutoShield Backupを使ってください。
使い方
診断したいWordPressサイトのURLを入力して「診断する」を押すだけです。数十秒で17項目のスキャンが完了してスコアが表示されます。
スコアの目安は、80点以上がSAFE、60〜79点がGOOD、40〜59点がCAUTION、39点以下がDANGERです。問題のある項目は具体的な内容と危険度が表示されます。
「もう感染しているかも」と思ったら
無料ツールは外部からの診断のため、サーバー内部に仕込まれたバックドア（不正な侵入口）や改ざんファイルまでは確認できません。次のような兆候がある場合は、サーバー内部まで踏み込んだ調査が必要です。
こんな症状はありませんか？
・Google検索に、作った覚えのないページが大量に表示される
・サイトにアクセスすると、勝手に別サイトへ転送される
・管理画面に見覚えのないファイルやユーザーがある
・以前マルウェアに感染し、再発が不安
・乗っ取り・改ざんが心配だが、何を確認すればいいか分からない
専用ツールでサーバー内部を調査し、不正なPHPコード（eval / base64 などバックドアの典型パターン）・uploadsフォルダ内の不審なファイル・.htaccessの不正なリダイレクト・改ざんの痕跡を洗い出し、結果をレポートでお渡しします。
※ 本サービスは「診断・調査」です。マルウェアの完全な駆除は含みません（別途ご相談）。また、高度に難読化された未知のバックドアは検出できない場合があり、「絶対に安全」を保証するものではなく、典型的な侵入痕跡を洗い出すものです。
さらに詳細な診断と自動バックアップ
このツールで問題が見つかった場合、またはより詳細な診断が必要な場合はAutoShield Backupをご利用ください。
AutoShield Backup v1.9.0
・25項目のセキュリティスコア診断（外部診断では確認できない項目を含む）
・ログイン攻撃検知→即座にDBバックアップ
・バックアップファイルをメール添付で通知
・ログイン攻撃の14日間推移グラフ
・買い切り・サブスクなし
WordPressサイトの開発・セキュリティ対策のご相談はお問い合わせからどうぞ。