News Note · IDAEO AI NewsStory Text
センターシールド：WordPress.org公式プラグインディレクトリ
WordPress保守サービス「WPセンター」を運営する株式会社6（本社：東京都渋谷区、代表取締役：井上雅尭、以下「WPセンター」）は、WordPress.org公式プラグインディレクトリで無料公開しているWordPressセキュリティプラグイン「CenterShield（センターシールド）」に、脆弱性診断機能を追加したバージョン1.1.0を公開しました。
新たに追加した脆弱性診断は、サイトを外部から見たときの状態（公開されているファイル、ユーザー名、HTTPヘッダー、HTTPS）、WordPress本体・プラグイン・テーマ・PHPの既知の脆弱性、設定の不備を約50項目にわたって自動で検査し、報告書にまとめます。専門業者に依頼すると数十万円規模になることもある脆弱性診断を、追加費用なしで管理画面から何度でも実行できます。
CenterShieldはこれまでも、ログイン保護、2要素認証、WordPress設定の強化、ファイル・サーバー保護、マルウェアスキャンを1本で提供してきました。今回の追加により、「守る」機能と「診る」機能を同じ管理画面で扱えるようになります。
管理画面とメッセージはすべて日本語です。すべての設定項目に「何のための対策か」「有効にすると何が変わるか」を記載しており、専門知識がなくても必要な対策を選べます。
プラグインページ：https://ja.wordpress.org/plugins/centershield/
提供元：WPセンター https://wpcenter.jp/
公開の背景
WordPressは世界で最も使われているCMSである一方、先日報告されたPHP2Shellに代表されるＰＨＰ・WordPress本体・プラグイン・テーマの脆弱性を悪用した改ざんや不正アクセスの被害が後を絶ちません。公開から時間が経ったサイトほど、更新が止まったプラグインや、放置された設定不備が攻撃の入口になります。
対策の必要性を感じていても、専門業者による脆弱性診断は高額で、継続的に実施しづらいのが実情です。既存のセキュリティプラグインを導入していても、「各設定が何をしているのか分からない」「脆弱性のチェックは有料プランでしか使えない」といった声を、WPセンターは保守の現場で多く聞いてきました。
WPセンターは、WordPress本体・プラグイン・PHPのアップデートと、それに伴う不具合解消を月額固定で引き受ける保守サービスを提供しています。日々の保守で蓄積した「何を、どの順番で守るべきか」の知見をプラグインに落とし込み、誰でも無料で使える形で公開することにしました。
CenterShieldの主な機能
センターシールドダッシュボード
必要な対策を6つの領域にまとめ、「推奨設定をまとめて適用」ボタンで一括有効化できます。項目ごとの個別設定も可能です。
領域
主な機能
アカウントとログインの防御
ログイン試行の制限（ブルートフォース対策）、ユーザー名の漏えい防止、ログインURLの変更、ログイン画面のベーシック認証、reCAPTCHA v2/v3、2要素認証（認証アプリ・メール・バックアップコード）、XML-RPCの無効化、管理画面のIPアドレス制限
不要機能・脆弱な設定の無効化
ピンバック、REST APIの制限（Contact Form 7・Jetpack・WooCommerce等は利用可）、投稿者ページ、テーマ・プラグインのファイル編集、アプリケーションパスワード、wp_headの不要タグ出力
ファイル・サーバー保護
wp-config.php・設定ファイル・バックアップファイルへの直接アクセス禁止、アップロードフォルダでのPHP実行禁止、ディレクトリ一覧表示の禁止、セキュリティヘッダー、readme.html等の削除、パーミッションの確認と修正
継続的な安全性の確保
攻撃パターンを含む入力の遮断（簡易WAF）、コメントスパム拒否、2年以上更新のないプラグイン・テーマの検知
マルウェア・脆弱性スキャン
公式チェックサムとの照合による改ざん検知、既知の脆弱性データベースとの照合、マルウェア定義によるパターン検査、画像ファイルに隠されたPHPコードの検査、データベース（投稿・ウィジェット・管理者アカウント）の検査、隔離・公式原本からの復元・差分表示、「今すぐ更新する」ボタンによる本体・プラグイン・テーマの更新
脆弱性診断（新機能）
外部からの見え方（公開ファイル、ユーザー名、HTTPヘッダー、HTTPS）、既知の脆弱性、設定不備を9分野・約50項目で自動検査。CVSS v3.1に基づく5段階の深刻度評価、総合評価、報告書の表示・印刷（PDF保存）、診断履歴
脆弱性診断（新機能）について
脆弱性診断結果画面
管理画面の「脆弱性診断」から「今すぐ診断する」を押すだけで、約50項目の検査が始まります。通常1〜2分で完了し、結果は深刻度ごとの件数、分野別の結果、指摘一覧として表示されます。診断は、サイト自身のサーバーから自サイトにアクセスして行う自動検査です。サイトのデータを書き換えたり、入力欄に攻撃用の値を送ったりはしません。
検査分野
検査分野主な確認内容
ファイルと情報の公開状態
バージョンや構成が分かるファイル、設定ファイルの控え、ログやバックアップを外部から取得できないか
ログインとアカウント
ユーザー名が外部から分からないか、ログイン画面の保護、失敗回数の制限、2要素認証
外部操作機能
XML-RPCとREST APIを必要以上に外部から使えないか
HTTPSと証明書
常にHTTPSで通信するか、証明書の期限、古い暗号方式、HTTPの混在
HTTPヘッダーとCookie
ブラウザに安全な動きを指示するヘッダー、Cookieの設定、他サイトからの読み取り許可、ソフトウェア名の表示
ソフトウェアの更新状況
WordPress本体・プラグイン・テーマ・JavaScriptライブラリ・PHPに既知の脆弱性やサポート切れがないか
改ざん・不正ファイル
直近のマルウェア・脆弱性スキャンで改ざんや不正なプログラムが見つかっていないか
メール送信ドメイン認証
ドメインになりすましたメールを防ぐ設定（SPF / DMARC / DKIM）があるか
サーバー・WordPressの設定
不要なHTTPメソッド、PHPの実行制限、管理画面の設定
深刻度と報告書
深刻度はCVSS v3.1の点数をもとに、JVNと同じ区分（緊急・重要・警告・注意）に「情報」を加えた5段階で示します。指摘ごとにCVSSスコアと対応の優先度を表示し、総合評価を「早期対応」などの一言で示します。結果は報告書番号付きで保存され、ブラウザから表示・印刷（PDF保存）できます。
検査の範囲
既知の脆弱性の情報は、Wordfence Intelligence（Defiant, Inc.）とCVE（MITRE Corporation）に由来します。問題が見つからなかった項目も安全を約束するものではなく、お問い合わせフォームなどサイト独自の機能や、サーバー・ネットワークそのものの診断が必要な場合は、専門の診断会社への相談を案内しています。
「有効化しただけでは何も変えない」設計
プラグインを有効化した直後は、すべての設定がオフです。利用者が自分で有効にするまで、.htaccessへの書き込みもスキャンの予約も行いません。.htaccessのルールはサイトに書き込む前に確認用フォルダで試験し、サーバーが受け付けない設定は自動で除外します。稼働中のサイトを扱う保守の現場を前提にした設計です。
CenterShieldの特長
約50項目の脆弱性診断を含めて、すべて無料 防御機能と診断機能を分けず、外部からの見え方・既知の脆弱性・設定不備の診断と報告書出力まで無料で提供します。有料プランや外部サービスへの申し込みは不要で、回数の制限もありません。
国産・完全日本語対応 管理画面、設定の説明、スキャン結果、エラーメッセージまですべて日本語です。設定ごとに「何のための対策か」「有効にすると何が変わるか」を記載しています。
「守る」と「診る」を1本に 防御（ログイン保護・2要素認証・ファイル保護・簡易WAF）と、診断（脆弱性診断・マルウェアスキャン・改ざん検知）を同じ管理画面で扱えます。診断で見つかった指摘の多くは、同じプラグインの設定を有効にすることで対処でき、更新・復元・隔離もプラグイン内で完結します。
稼働中のサイトを壊さない 有効化しただけでは設定を変えず、.htaccessのルールは事前に試験してから適用します。ログインURLやベーシック認証を忘れた場合の復旧手順も用意し、保守担当者が安心して導入できるようにしました。
データを外部に送らない サイトのコンテンツ、投稿データ、ユーザーデータ、サイトURLを外部に送信しません。脆弱性データとマルウェア定義はダウンロードして照合をサイト内で行い、WPセンターのサーバーには導入プラグインの一覧も送りません。
無料で提供する理由
WPセンターは、WordPressサイトの保守を本業としています。保守の現場で最も時間を取られるのは、被害が起きたあとの復旧です。被害を未然に防ぐ基本的な対策が、費用や専門知識を理由に後回しにされる状況を変えたいと考え、診断を含めて無料で公開することにしました。
制作会社が納品するサイトに標準で組み込める水準を目指し、今後も保守の現場で得た知見を機能に反映していきます。
提供概要
項目
内容
内容
CenterShield（センターシールド）
価格
無料（すべての機能を利用可能）
提供形態
WordPress.org公式プラグインディレクトリで配布
最新バージョン
1.1.1（脆弱性診断機能を追加）
対応環境
WordPress 5.8以降（7.1.3で動作確認済み）、PHP 7.4以降
対応言語
日本語
ライセンス
GPL（オープンソース）
配布URL
https://ja.wordpress.org/plugins/centershield/
WPセンターについて
WPセンターは、株式会社6が運営するWordPress保守サービスです。WordPress本体・プラグイン・PHPのアップデートと、それに伴う不具合の解消を月額固定料金で引き受けます。バックアップ、改ざんチェック、死活監視、保守用の開発環境構築までを含め、制作会社とサイト運営者の継続的な運用を支えています。
会社概要
項目
内容
会社名
株式会社6
所在地
東京都渋谷区桜丘町23－17
代表者
井上雅尭
事業内容
WordPress保守サービス「WPセンター」の運営
URL
https://wpcenter.jp/
本件に関するお問い合わせ
株式会社6 WPセンター 広報担当
メール：contact@wpcenter.jp
電話：050-3696-1191