HTTPSで守る範囲
盗聴や通信途中の改変への対策になります。一方、サーバーに保存したデータ、端末上の情報、悪意あるプラグインへの対策は別です。鍵マークや証明書があることだけで、運営者やコンテンツの安全性を判断できません。
WordPressで確認する項目
証明書の対象ホスト、有効期限、HTTPからの転送、WordPress URL、画像・スクリプトの混在を確認します。CDNでTLS終端している場合は、CDNと接続元サーバーの区間も確認します。URL変更時はリダイレクトループに注意します。
設定変更の進め方
- 現在のURL・転送・プロキシ構成を記録する。
- 証明書と接続元を検証する。
- 検証環境でURLと混在コンテンツを確認する。
- 本番反映後、ログイン・画像・フォームを試す。
- 期限監視と自動更新の失敗通知を設ける。
HTTPS化後に続ける対策
WordPressとPHPの更新、アカウント管理、ログ、バックアップは継続します。HTTPSを導入したことを、サイト全体のセキュリティ対応完了と報告しないようにしましょう。
HTTPからの切替で確認すること
証明書を発行した後、HTTPのURLからHTTPSへ適切に転送されるか、フォームの送信先、画像、外部埋め込み、canonical、サイトマップを確認します。www有無や別ホストも対象なら、それぞれ証明書と転送を照合します。証明書の配備とサイト内参照の変更は別の作業です。
プロキシやCDNを使う場合
利用者からCDN、CDNからサーバーの両区間を確認します。WordPressが接続方式を誤認すると、転送ループやCookieの問題が起きる場合があります。信頼するプロキシと設定を管理者へ確認します。
よくある質問
HTTPSなのにブラウザーに警告が出ますか？
期限、対象ホスト、証明書チェーン、混在コンテンツなどを確認します。原因によって対処が異なるため、警告文と対象URLを記録します。
HTTPSならバックアップを公開しても安全ですか？
安全ではありません。通信の暗号化とアクセス権の制御は別です。認証なしで取得できるSQLやZIPは、HTTPSでも流出のおそれがあります。