Category
セキュリティ運用
「セキュリティ運用」のカテゴリの記事、11件。
/blogブログ
← ブログ一覧へ
【保存版】WordPress管理画面ログインの点検6項目、6分で終わるWordPressの管理画面にログインできないと、まずパスワードを疑いがちです。実は、レンタルサーバーの国外アクセス制限が原因のことがあります。確認したい6つの項目と、見落としやすい勘違いをまとめました。読む→
【体験談】脆弱性ニュースの見出し判断で5日ハマった原因セキュリティの『緊急』という発表を4回も見出しで確認していたのに、本当に危ないと気づくまで5日かかりました。原因は見出しだけで判断していたことです。同じ見落としを防ぐための確認のやり方と、そのまま使える判定表をまとめました。読む→
WordPress、対象外と確認必要どっち？4分で判断できる比較表WordPress本体の自動更新をオンにしていれば安心、と思い込んでいませんか。2026年7月の脆弱性「wp2shell」では、自動更新を止めていたサイトが強制更新の対象から外れていました。自分のサイトがどちら側かを4分で判断できる表にしました。読む→
自動返信を残すと止める、どっち？5分で判断できる比較表問い合わせフォームの自動返信が、迷惑メールの送信に悪用される被害が相次いでいます。実際にあった送信事例と公式の注意喚起をもとに、自動返信を残すか止めるかを5分で判断できる比較表にしました。読む→
プラグインの大型更新、実際に2ヶ月見送った判断基準3つWordPressプラグインの大型アップデート通知、すぐ上げていませんか。SEOプラグインの5.0系アップデートを2ヶ月見送った実例と、上げる前に確認したい3つの項目をまとめました。読む→
Elementorに脆弱性、実際に2日で修正版が出たWordPressの定番プラグイン「Elementor」に、管理者がリンクを開くだけで管理者権限を奪われる脆弱性が見つかりました。自分のサイトが対象かどうかの確認方法と、今日中にやることをまとめました。読む→
WordPress自動更新のデメリット、数時間で3万台が実際に狙われたWordPressの緊急更新が公開された同じ日のうちに攻撃が始まりました。自動更新は本当に切っていいのか、公開情報の数字をもとに、私が実際に見直した設定と手順をまとめました。読む→
サイト乗っ取りの被害を広げない3つの確認｜10分でできる実践チェックサイトに他のページの情報をそのまま表示する機能があると、権限を奪われたときの被害が1ページで終わらないことがあります。専門知識がなくても使える3ステップの確認方法と、私自身が以前やっていてやめた書き方をまとめました。読む→
AIエージェントに本物のAPIキーを渡したくない——OneCLIを自分のPCで動かして「FAKE_KEYが本物にすり替わる瞬間」を見た（ハマりどころ3つ）Claude CodeのようなAIエージェントに外部サービスを触らせたいけど、実APIキーをそのまま渡すのは怖い。そこでOneCLIというOSSのゲートウェイをDockerで自分の環境に立てて、エージェントはFAKE_KEYしか持たず本物のキーは送信の瞬間だけ差し込まれる、を実際に動かして確かめました。ちゃんと動いたけど、READMEに書いていない詰まりが3つ（Bearerではなく Basic 認証・/api/secrets のパス・MITMのCA証明書）ありました。全部、実行ログとスクショつきで書きます。読む→
WordPressの ?author=1 でユーザー名がバレる問題を、プラグインなしで根本対策する方法WordPressサイトで ?author=1 にアクセスするとログインIDが漏れる問題を、プラグインに頼らずに functions.php と REST API 制御で根本対策する手順を、コードと検証コマンド付きで解説します。読む→
WordPressを安全に守るための超基本：4つの習慣で十分なセキュリティ入門初心者でも今日から実践できるWordPressセキュリティの基本。更新・バックアップ・WAF・ログの4習慣を中心に、設定例、失敗しない手順、30日プランまで丁寧に解説。読む→
【保存版】WordPress管理画面ログインの点検6項目、6分で終わるWordPressの管理画面にログインできないと、まずパスワードを疑いがちです。実は、レンタルサーバーの国外アクセス制限が原因のことがあります。確認したい6つの項目と、見落としやすい勘違いをまとめました。読む→【体験談】脆弱性ニュースの見出し判断で5日ハマった原因セキュリティの『緊急』という発表を4回も見出しで確認していたのに、本当に危ないと気づくまで5日かかりました。原因は見出しだけで判断していたことです。同じ見落としを防ぐための確認のやり方と、そのまま使える判定表をまとめました。読む→WordPress、対象外と確認必要どっち？4分で判断できる比較表WordPress本体の自動更新をオンにしていれば安心、と思い込んでいませんか。2026年7月の脆弱性「wp2shell」では、自動更新を止めていたサイトが強制更新の対象から外れていました。自分のサイトがどちら側かを4分で判断できる表にしました。読む→自動返信を残すと止める、どっち？5分で判断できる比較表問い合わせフォームの自動返信が、迷惑メールの送信に悪用される被害が相次いでいます。実際にあった送信事例と公式の注意喚起をもとに、自動返信を残すか止めるかを5分で判断できる比較表にしました。読む→プラグインの大型更新、実際に2ヶ月見送った判断基準3つWordPressプラグインの大型アップデート通知、すぐ上げていませんか。SEOプラグインの5.0系アップデートを2ヶ月見送った実例と、上げる前に確認したい3つの項目をまとめました。読む→Elementorに脆弱性、実際に2日で修正版が出たWordPressの定番プラグイン「Elementor」に、管理者がリンクを開くだけで管理者権限を奪われる脆弱性が見つかりました。自分のサイトが対象かどうかの確認方法と、今日中にやることをまとめました。読む→WordPress自動更新のデメリット、数時間で3万台が実際に狙われたWordPressの緊急更新が公開された同じ日のうちに攻撃が始まりました。自動更新は本当に切っていいのか、公開情報の数字をもとに、私が実際に見直した設定と手順をまとめました。読む→サイト乗っ取りの被害を広げない3つの確認｜10分でできる実践チェックサイトに他のページの情報をそのまま表示する機能があると、権限を奪われたときの被害が1ページで終わらないことがあります。専門知識がなくても使える3ステップの確認方法と、私自身が以前やっていてやめた書き方をまとめました。読む→AIエージェントに本物のAPIキーを渡したくない——OneCLIを自分のPCで動かして「FAKE_KEYが本物にすり替わる瞬間」を見た（ハマりどころ3つ）Claude CodeのようなAIエージェントに外部サービスを触らせたいけど、実APIキーをそのまま渡すのは怖い。そこでOneCLIというOSSのゲートウェイをDockerで自分の環境に立てて、エージェントはFAKE_KEYしか持たず本物のキーは送信の瞬間だけ差し込まれる、を実際に動かして確かめました。ちゃんと動いたけど、READMEに書いていない詰まりが3つ（Bearerではなく Basic 認証・/api/secrets のパス・MITMのCA証明書）ありました。全部、実行ログとスクショつきで書きます。読む→WordPressの ?author=1 でユーザー名がバレる問題を、プラグインなしで根本対策する方法WordPressサイトで ?author=1 にアクセスするとログインIDが漏れる問題を、プラグインに頼らずに functions.php と REST API 制御で根本対策する手順を、コードと検証コマンド付きで解説します。読む→WordPressを安全に守るための超基本：4つの習慣で十分なセキュリティ入門初心者でも今日から実践できるWordPressセキュリティの基本。更新・バックアップ・WAF・ログの4習慣を中心に、設定例、失敗しない手順、30日プランまで丁寧に解説。読む→
