ホームページ制作の終盤は、公開日に間に合わせることが最優先になりがちです。「細かい設定は公開してから」と進めることもあるでしょう。ところが、後回しにした設定がそのまま忘れられ、何か月もたってから問題になることがあります。この記事では、ホームページ制作で公開前に済ませておきたい、セキュリティに関わる基本設定を取り上げます。
公開を急ぐときに起こりやすいこと
公開直前は、原稿の差し替えや表示の確認など、目に見える作業に時間が取られます。一方で、セキュリティに関わる設定は、やらなくても見た目には何の変化もありません。そのため後回しにされやすくなります。
しかも、公開後は日々の業務に戻るため、ホームページをじっくり見直す機会はなかなか来ません。「後でやる」と決めた作業は、誰かが期限と担当を決めない限り、そのまま残り続けます。
ここからは、残りやすい設定を具体的に見ていきます。
テスト環境を残したままにしない
制作中は、本番とは別の場所にテスト環境（公開前に表示や動作を確かめるための仮の置き場所）を用意することがよくあります。公開後、このテスト環境が消されずに残っていることがあります。
残ったテスト環境は、誰も更新しないまま古い状態で放置されます。外部から誰でも見られる状態になっていれば、検索結果に表示されたり、更新されていない弱点を狙われたりします。本番と同じ管理者アカウントが使われていれば、そこから本番のホームページに入られるおそれもあります。
公開したら、テスト環境を削除するか、パスワードをかけて関係者以外が見られない状態にします。どちらにするのかを、公開前に決めておきます。
初期のIDとパスワードを変える
CMS（ホームページの更新を管理する仕組み）の管理者アカウントは、制作中は作業しやすい設定になっていることがあります。「admin」のような推測しやすいID、制作チームで共有していた仮のパスワードなどです。
これらは、外部から機械的にログインを試される際に真っ先に狙われます。公開前に、推測されにくいIDと十分な長さのパスワードに変えておきます。制作中に作った作業用のアカウントが不要になっていれば、削除しておきます。
制作を依頼した先が公開後も更新を担う場合でも、自社の担当者と依頼先とで別々のアカウントを使う形にしておくと管理しやすくなります。一つのアカウントを共有したままだと、パスワードを変えたいときに双方へ連絡し直す必要があり、結局変えないまま使い続けることになりがちです。
使っていないプラグインやテーマを削除する
制作の途中で、いくつかのプラグイン（機能を追加する部品）やテーマ（見た目を決める部品）を試すことがあります。採用しなかったものが、停止しただけの状態で残っていることがあります。
停止しているプラグインも、ファイルとしてはサーバーの中に残っています。使っていないため更新もされず、弱点が見つかってもそのままになりがちです。使わないものは停止ではなく削除しておきます。
エラーの表示と作業用のファイル
制作中は、不具合の原因を探すために、エラーの内容を画面に表示する設定にしておくことがあります。この設定が公開後も残っていると、エラーが起きたときに、ホームページの内部の構造やファイルの場所が誰にでも見える形で表示されます。攻撃する側にとっては手がかりになる情報です。
また、作業の途中で作ったデータの書き出しファイルや、古い版のファイルがサーバーに残っていることもあります。中に個人情報や設定情報が含まれていれば、外部から取得されるおそれがあります。公開前に、不要なファイルが残っていないかを確認します。
フォームの送信先と自動返信
問い合わせフォームは、制作中は動作確認のために、制作担当者のメールアドレスへ送信される設定になっていることがあります。これが本番の送信先に変わっていないと、お客様からの問い合わせが外部の担当者に届き続けることになります。
公開前に、実際にテスト送信をして、正しい宛先に届くか、自動返信メールの文面や差出人が正しいかを確かめておきます。
「後でやる」を残すなら記録する
それでも、すべてを公開前に終えられないことはあります。その場合は、残した作業を一覧にして、担当者と期限を決めておきます。
記録がないまま「後でやる」になった作業は、担当者が変わった時点で、誰も存在を知らない作業になります。一覧が一枚あるだけで、その状態は避けられます。
公開日の前に確認の時間を取っておく
ここで挙げた設定は、どれも短時間で済むものです。問題になるのは作業の難しさではなく、時間が確保されていないことです。
ホームページ制作のスケジュールを組むときは、公開日の数日前に「公開前の設定確認」の時間を入れておいてください。テスト環境、管理者アカウント、プラグイン、エラー表示、フォームの送信先。この5つを順に確認するだけでも、公開後のリスクはかなり減らせます。
