「NUSEEK Security Scanner」フリープランにも実装。サイトの弱点を対処法とあわせて報告

このプラグインでできること

NUSEEK Security Scannerは、お店のWordPressとNuseek AIRAをつなぐプラグインです。つないでいる間、WordPressの中からPHP・WordPress・プラグインの版や、公式のものと違うファイル、公開の場所に置かれたままのバックアップなどをしらべ、AIRAに届けます。

AIRAは、届いた結果を公開されている脆弱性の記録（Wordfence Intelligence）と照らし合わせ、項目ごとに「何をすればよいか」の一言を添えて、「タイムライン」と「サイトの守り」に出します。AIRAとのチャットで「プラグインに更新はある？」「PHPの版は？」のように聞いていただくこともできます。

WordPressとネットショップのつながり

WordPressがネットショップ（futureshopなど）とは別のサーバーで動いていても、次のようなつなぎ方をしているときは、WordPressへの不正なアクセスの影響が、ネットショップのお客様にも届くことがあります。

• ネットショップと同じドメインで記事を出しているとき（例：/contents/ や /blog/ の下に記事がある）。お客様からは、同じお店のページに見えます。不正に書き換えられた記事のページに、偽の入力欄や別のサイトへ移す仕掛けを入れられると、お店の名前のまま、お客様に影響が出ます。
• WordPressの記事をネットショップのページに取り込んでいるとき（新着記事の一覧の読み込みなど）。取り込む中身に不正な仕掛けを混ぜられると、ネットショップのページにもそのまま表示されます。

NUSEEK Security Scannerは、WordPressの版や置かれているファイルを毎晩しらべ、こうしたことにつながる弱いところを早めにお知らせします。

しらべること

• PHP・WordPress・プラグイン・テーマの版

  PHP・WordPress本体・データベース・Webサーバーの版と、入っているプラグイン（止めてあるものも含みます）とテーマの版、更新があるかどうか。AIRAが、公開されている脆弱性の記録（Wordfence Intelligence）と照らし合わせます。PHPの公式の直しの配布が終わった版かどうかもお伝えします。

• WordPress本体のファイル

  WordPress.orgが公開している公式の控え（チェックサム）と、本体のファイルを1本ずつ突き合わせます。違うファイルは公式の原本を取り寄せ、どの行が違うかを出します。日本語版のWordPressがもともと書き換えている行は見分けて、違いとして数えません。

• プラグインのファイル

  WordPress.orgで配られているプラグインを、その版の公式の控えと突き合わせます。行が違うファイルと、控えに無いプログラムのファイルを一覧にします。有料のプラグインや自作のプラグインのように公式の控えが無いものは、「突き合わせきれていない」と数でお伝えします。WordPress.orgの一覧に無いプラグインもお知らせします。

• アップロードの置き場のファイル

  画像や資料を置く場所（wp-content/uploads）に、PHPなどのプログラムのファイルが置かれていないか。よく知られたプラグインがわざと置くファイルは見分けて、理由を添えて分けて出します。

• 外から取れるかもしれないファイル

  バックアップのファイル、データベースの書き出し、debug.log、.gitや.env、wp-config.phpの控え（.bakや.oldなど）が、公開の場所に置かれたままになっていないか。置かれている場所と名前をお伝えします。

• ログインの失敗と管理者の人数

  日ごとのログインの失敗の数と、管理者の人数、前の回からの増減。ユーザー名やIPアドレスは記録しません。

公式のものと違うファイルや、出どころの分からないファイルが見つかっても、改ざんされたとは限りません。サーバーの会社や制作会社が手を入れていることもあります。AIRAは見つかった事実と、確かめ方をお伝えします。

しないこと

• サイトのファイルを書き換えたり、消したりしません。プラグインが残すのは、しらべの途中経過などの控え（WordPressの設定の表）だけです。プラグイン自身の更新は、WordPressの更新の仕組みで行います。
• 見つけたファイルを、外から取りに行って開けるか試すことはしません。お伝えするのは、サイトの中に「置いてある」というところまでです。
• サーバーのコマンドを動かす関数（exec・system・evalなど）は使いません。これらを止めているサーバーでも動きます。
• 外から呼び出せる受け口（REST APIやadmin-ajax）を作りません。
• AIRAとつなぐまでは、しらべることも、記録することも、送ることもしません。
• サイトの表示を遅くしないよう、しらべは20秒ほどの区切りで少しずつ進めます。

AIRAに送るもの・送らないもの

送り先はAIRA（app.nuseek-aira.com）で、HTTPSで送ります。つなぐときに貼った連携のコードで、どのお店のサイトかを見分けます。公式の控えと突き合わせるために、WordPressの版と言語、プラグインの名前と版をWordPress.orgに送って、公開されている控えを受け取ることがあります。サイトの中身は送りません。

受け取った情報の扱いは、利用規約の第9条の2と、プライバシーポリシーの「12. WordPress用プラグイン」に書いています。

動く環境

PHP

7.2以上（7.2・7.3でも動きます）

WordPress

5.9以上

通信

サーバーから、AIRA（app.nuseek-aira.com）とWordPress.orgへHTTPSでつながること

操作する方

WordPressの管理者の方（設定を変えられる権限）と、AIRAのお店の管理者の方

入れ方・つなぎ方

1. AIRAで連携のコードを作る

   AIRAの左のメニューの「サイトの守り」を開き、上のタブ「WordPressの守り」を押します。サイトの名前を入れて「連携のコードを作る」を押すと、コードが表示されます。コードはその場で一度だけ表示されるので、コピーしておいてください。作れるのはお店の管理者の方です。サイトが2つ以上あるときは、サイトごとに1つずつ作ります。

2. WordPressにプラグインを入れる

   プラグインのファイル（zip）は、NUSEEKからお渡しします。お問い合わせフォームからご連絡ください。WordPressの管理画面の「プラグイン」→「新規プラグインを追加」→「プラグインのアップロード」でzipを選び、「今すぐインストール」を押してから「プラグインを有効化」を押します。

3. コードを貼ってつなぐ

   WordPressの管理画面の「ツール」→「NUSEEK Security Scanner」を開き、1で作ったコードを貼って「つなぐ」を押します。最初のしらべがすぐに始まります。

4. AIRAで結果を見る

   しらべが終わると、結果がAIRAに届きます。「サイトの守り」の「WordPressの守り」で、項目ごとに何をすればよいかの一言と一緒にご覧いただけます。そのあとは毎晩しらべます。すぐにしらべ直したいときは、プラグインの画面の「いますぐしらべる」を押してください。

更新のしかた

• 新しい版は、WordPress.orgからではなくNUSEEKからお届けします。WordPressの「更新」の画面に、ほかのプラグインと同じ形で出ます。
• プラグインを入れたときに、このプラグインの自動更新がオンになります。オフにしたいときは、「プラグイン」の画面で「自動更新を無効化」を押してください。
• 入れるのは、NUSEEKの鍵の署名があり、ファイルの大きさとSHA-256が署名の中身と一致し、いま入っている版より新しい版だけです。どれか1つでも合わなければ、何も入れません。
• 新しい版は、まず一部のサイトで動きを確かめてから、順にお届けします。
• 更新を受け取るのは、AIRAとつないでいるサイトだけです。

外すとき・プランが変わったとき

• 送るのをやめたいときは、プラグインの画面で「外す」を押します。連携のコードと、プラグインが記録したもの（しらべの途中経過・結果・公式の控え・ログインの失敗の数）がすべて消え、そのあとは何もしらべず、何も送りません。AIRAの「WordPressの守り」でも「外す」を押してください。
• プラグインを削除すると、プラグインが保存したものもすべて消えます。
• AIRAのプランを変えても、連携はそのまま続きます。外したサイトをもう一度つなぐときは、新しい連携のコードを作ってください。

対象のプランと料金

フリープランを含む、Nuseek AIRAのすべてのプラン（フリー・スタンダード・プラス・プロ・マックス）でお使いいただけます。料金は各プランに含まれていて、追加の料金はかかりません。

しらべる頻度はプランで変わりません。つないでいる間は、どのプランでも毎晩しらべます。

料金プランを見る

よくある質問

お問い合わせ

入れ方やしらべた結果について分からないことがあれば、お気軽にお問い合わせください。

お問い合わせフォームはこちら