NAGASAKI BURABURABU～

上記の広告は、30日以上更新がないブログに表示されています。
新たに記事を投稿することで、広告を消すことができます。  

先だってのロリポップ・WordPress大規模ハッキングから
まだ余韻冷めやらぬ日々です。

移転先のレンタルサーバーも探しているのですが、
一度ここまで格安に下げて設定してしまうと、
高いサーバーへの乗り換えはなかなか進まない。

エックスサーバーもよさそうですが、
ロリポップのロリポプランあたりの価格帯(月々300円前後)で
データベース１つ以上。
PHPも当然使えて、管理画面が使いやすい。

となるとなかなか容易に見つかりませんね。
月額1,000～2,000円くらいだとちょっとはましなようですけれどね。

















スポンサードリンク
スポーツ選手の外傷・障害の治療、トレーニングのご相談を承ります。長崎県佐世保市【大宮町整骨院】  

先月末のロリポップ・ワードプレス大規模ハッキングにおいて
当方のクライアント様サイトが
２つもハッキングされたことを前回の記事に書きましたが、
これら２つのサイトがハッキング前にどういう状態だったかを含めて

ワードプレスサイトはどのような状態にしておくべきか
自戒の覚書として記しておきます。

ハッキング以前、
２つのサイトはIDに「admin」は使用していませんでした。
ログインパスワードも「強」が表示される英数字混合。
英単語としての意味も持たせていません。

WordPress本体も最新バージョンにアップデート済みで、
搭載・利用するプラグインやテーマも最新状態でした。
また、使用していないプラグインは削除済みで
テーマも使っていないものは削除していました。
使用プラグインについてもデフォルトで搭載されがちな
「super cache」でさえ脆弱性の疑いありとして私は使っていませんでした。

configファイルのパーミションは404。


ただ、惜しむらくは
ブラウザから頻繁にphpファイルを加工するため
WAF(Webアプリケーションファイヤーウォール)の設定を無効化していたことと、
データベースの接頭語を「wp_」のままにしていたこと。


サーバー運営会社からはまだ今回の大規模ハッキングについての
明確な原因の公表はなされていません。されるのかもわかりませんが。



初めてのホームページを作ってから今月６日で１４年が経過します。
その間様々なサーバーを利用しました。
自前の専用回線や専用サーバー、共用サーバー。

共用サーバーを利用している以上、
今回のような事象は避けられないのかもしれません。
それでもロリポップサーバーを使わざるをえないのは、
一番にコスト。

自社ホームページが財産であるとしても
サーバーをどこまでの機能とコストで落ち着かせるのか。
例えて言うと、
「おたくの会社の金庫は耐火金庫ですか？」
と言う感じ。


数年前までは、サーバー維持費に「年間数万円以上」というのが常識でしたが
昨今の世情や景気を鑑みると「年間数千円で済むものならば」というのも
仕方がないかと。(ショップ機能以外の話です)

格安の共用サーバーで有名どころと言うと、
ロリポップ、ハッスル、さくら、ドメインキング、FC2 Liteなど
月300～500円のところから、もっと安いものもあるようです。


少し話がそれましたが、
例えばWordPressではなく、BaserCMSなどを使っていれば
今回のようなハッキングには遭わなくて済んだのか。

サイト単体で言えばそうでしょう。
しかし、サーバーが共有である以上、直接でなくとも
横道から侵入されちゃう危険性はあるようですね。

そもそも今回のハッキングはWordPressの問題ではなくて
サーバー内の設定の問題だという指摘もあるようですし。

はぁ悩ましい。
それでもWordPressを使い続ける理由はなんでしょう。
というのがタイトルでしたね。

私が初めて触れたブログは、実はレンタルブログでも
WordPressでもなく、MovableTypeでした。

動的なWordPressに対して、静的と表現されることが多いMovableType。
プログラムにそんなに詳しいわけでないのですが、
固定のページに対して記事を書きだすため、更新などでの構築(再構築)が
めんどうで、レンタルブログに乗り換えました。
その後WordPressへ。

WordPressの良さは、
あくまでも私見ですが、
利用価値の高いプラグインの多さと
マニュアル・解説・書籍の豊富さ、でしょう。

「この部分をこうしたいんだけど」と思って検索すると
大抵はヒットする。
例えば、コンタクトフォームやフックをかける、プラグインの豊富さ等々。

それらを駆使しつつデザインを盛り込むと、制作費用がかさむので
どシンプルなテンプレート(テーマ)を提供していますけどネ。
コンテンツの量が莫大であれば、デザインは的確なナビゲーションのみでもいいのかな、と。
(※コンテンツの質は、量が蓄積されれば自ずと上がっていきます。)

というわけで、
WordPressを使い続けるのでした。
サーバーは…。



！　おっと書き忘れるところでした。
WordPressをお使いの初心者の方は以下に注意。
※特にロリポップサーバーご利用の方。

▲ログインユーザー名を「admin」にしない。
▲ログインパスワードは意味を成さない英数字混合で「強」になるように。
▲WordPress本体は常に最新バージョンにする。
▲使っていないテーマは削除しておく。
▲使っていないプラグインは削除しておく。
▲プラグインも常に最新バージョンに。
▲あやしいプラグインは使わない。
▲FTP接続ツールで、wp-config.phpファイルのアクセス権限(パーミッション)を
「400」にする。
▲FTPツールで、.htaccessファイルのパーミッションを「604」にする。
▲ロリポップサーバーをお使いの方は、サーバー管理画面の
WebツールからWAF設定を「有効」にする。
▲WordPressダッシュボードのエクスポートからバックアップを頻繁に取っておく。

これくらいしておけば、ハッキングされたりサイトそのものが復活できないほど
改ざんされても、自分のサイトだけはなんとか復旧できるし諦めもつくでしょう。

改ざん後のサイトがよそ様に悪さするようなものだと
ちょっとやっかいですが、それでも抗弁は立つでしょう。か?!



  

うちのメイン商材は、WordPressを利用した簡易CMSブログ型ホームページ。
しかも2年ほど前から推奨サーバーをロリポップにしていたので
今回のハッキング騒動は大打撃である。
なにせ他サーバーからロリポップへの乗り換えが
全てのクライアント様で完了していたし、
WordPressで制作したサイトが20件近くあるのだから。

というか実際にクライアント様サイトが
ハッキングされてしまった。２件も。
基本的な対処策を施していたにもかかわらずだ。

ロリポップ側の発表が信頼できるものかどうかは別として
WordPressそのものやプラグインの脆弱性をついたのは発端に過ぎず、
サーバー内のファイル設定に起因して、
横断的かつ爆発的に被害が拡大した様相である。

なんと8400サイト超のハッキングが確認されたようだ。

起こってしまったことは仕方がない。
とにかく対処しなければ！　という月末でした、８月末は。


応急措置の覚書

①文字コードを訂正
本来UTF-8という文字コードのはずが、
UTF-7に改ざんされているので、その訂正。
設定＞表示設定＞UTF-7→UTF-8へ。
(ウィジェットにスクリプトを書き込むのにクロスサイトスクリプティングで注入するためか?)

②タイトルと説明文を訂正
設定＞サイト名と説明文を修正。

訂正前にエクスポート作業をすると取得(ダウンロード)できるxmlファイルがハッキングされた表示のままなので、上記訂正をした後、エクスポートする。

③ウィジェットに読み込みエラーを誘うスクリプトが埋めてあるので削除する。
全てのウィジェットが改ざんされている模様。

④ロリポップサーバーの管理画面のWebツールからWAF(Webアプリケーションファイヤーウォール)設定が有効化になっているかをチェックする。

⑤wp-config.phpファイルのパーミションを400にする。
.htaccessのパーミションを604にする。

⑥WordPressのログインIDとパスワードを変更する。
IDは変更できないので、新たにユーザーを作って記事移譲。

⑦WordPressのデータベースのパスワードを変更し、
wp-config.php内のデータベースパスワードも合わせて変更する。

この時点で、⑤のwo-confid.phpと⑦については、ロリポップ側で作業が成されたようなので割愛。


とは言え、ハッキングで侵入されたのは気持ちが悪いので、
領域を変えてWordPressそのもののインストールをやり直したいところだ。



  

そろそろ行こうかなと思っていると、
なんだかすごくいいタイミングで
床屋さんからメールマガジンが来た･･･。  

テンプレートを触って文字サイズや文字色を変えてみる前に
スタイルシートのお話をしておきます。

ちょっとメンドクサイ話なので、
テンプレート実践編に直接進みたい方は
読み飛ばしていただいて結構です。



のらんば長崎ブログやSeesaa、Livedoor、FC2、exciteなどの
レンタルブログには「HTML」と「CSS」を修正･調整して
ブログの見栄えを変更する機能が備わっています。



ホームページの主要コンテンツは、
「内容そのもの」＝「構文」ですから、それ以外の余計な文書が
HTML上にたくさん在ると、
GoogleやYahoo!などの検索エンジンが
そのホームページやブログの主要な内容を
正確につかみきれないという現象がおきるので、

インターネット上の言語を統括している世界的な機関が
「デザインと内容は分けてホームページを作りましょう」
という勧告を発令しました。

デザインと内容が分かれていない例として
それまでのホームページの多くは、
デザインを細かく指定するために
表を組み込み、表の罫線を見えなくして
細かなデザイン部品を配置していました。

私がホームページ制作インストラクターをしていた
10年前には、まだ国内の官公庁も大手メーカーもテレビ局なども
ほとんど全てのホームページが表(テーブル)を配した
デザインを主流としていました。

しかし、表はあくまでもデータなどを
表形式で見せるための機能なので、
デザインに用いないように勧告されたわけです。

その勧告に従って、
Google等の検索エンジンも検索アルゴリズムを
組みなおしましたので、

現在のようにHTMLとCSSの組み合わせで
レイアウトデザインや各種パーツの設定が
なされているホームページが
より検索上位に表示されるようになっていきました。

それと時を同じくして、
日本国内でもブログが日記として広まり始め
ブログの構造がHTMLとCSSを組み合わせた
理想的な言語構造でできていたため
企業などでは、いままで持っていたホームページに
ブログを追加設置し、記事を更新することで、
アクセスを伸ばそうという動きがありました。
その後、
ホームページそのものをブログ型のシステムで作ってしまう
CMS(コンテンツマネージメントシステム)などが流行るわけです。
CMSのお話はまた改めていたします。


それでは、
我々がブログの見た目やデザインを変えたい場合、
どこを触ったらよいのか。
そうです。スタイルシートに修正･加筆します。

記事中の文字サイズを変えるには、
他にも、ひとつひとつの記事を書くときに
いちいちサイズを拡大･縮小するという方法もありますが、
それでは手間もかかりますし、
記事中に文字サイズを制御する言語が書き込まれてしまうので、

ピンポイントで文字に色をつけたり、
拡大したり、太字に(強調)するのはよいですが、
ベースとなる文字サイズの大きさは
テンプレートのスタイルシート上で設定してしまうと良いでしょう。

というわけで、いよいよ次回
テンプレートのスタイルシートを調整して
文字サイズや文字色を設定してみましょう。
  

先日の記事のつづきです。
前回は、白い背景色のホームページやブログには
真っ黒から少しだけ薄くした
濃い色の文字色が映えて読みやすいですよ、というお話でした。

背景色と文字色の関係は
コントラストの細かい調整なので慣れが必要ですが、
もっと重要な読みやすさの要素に
「文字サイズ」と「行間設定」があります。


近頃はホームページやブログを見る側のパソコンが
多種多様になっていて、
画面サイズや解像度もまちまちです。

また、MacやWin7のノートPCのパッド部分には
指でアクションすると拡大したり縮小したりする機能も付いています。
それ以外でも、
今のバージョンのブラウザは
拡大縮小が簡単にできるようになっていますので
小さな文字のホームページがどうしても見づらい場合は
拡大してもらえば良いのですが、

見る側に極力アクションをさせないのも
読みやすさ･見やすさの要素になりますので、
できれば始めから読みやすい大きさで
表示されているに越したことはない。

文字のサイズについて

のらんば長崎やその他のレンタルブログサービスでは、
多数のテンプレート(あらかじめ用意されたレイアウトデザイン)の
文字サイズ設定が
12px(１２ピクセル)　になっています。



このブログは間を取って
文字サイズを14pxに設定しています。

行送り幅、行間について

文字サイズと連動して大切なのが
行間の隙間、行送りの間隔の設定です。
印刷物では、行送り間隔が125%程度が読みやすいといわれますが

Webページ上のテキストの場合、
170%前後(許容値140～190%)の行送りが
読みやすいといわれています。
つまり、文字サイズの７割の行間を空けるとよいということです。


このブログの行送りは、
145%とっていますので、
行間は、おおよそ6pxくらいあいていることになります。



実は、文字サイズを12pxから14pxにするという
このほんのわずかな修正だけで
ぐんと読みやすくなるのですが、いかがでしょうか。


さて、次回はいよいよ
具体的にテンプレートの該当箇所を修正して
文字色や文字サイズ、行送り幅の設定をしてみましょう。

＞＞次の記事 「スタイルシートのお話」  

昨日の記事の続きです。
前の記事では、

使用しているテンプレートが
背景に画像を使用していない場合の白背景は
「ブログの設定」＞「テンプレート」の使用中テンプレート、
「カスタマイズ」で「スタイルシート」の中の
該当するタグを修正するだけで

背景色を変えることができますが、
テンプレートの多くは、
背景にも画像を使ってあります。

背景画像は、
レイアウトや内部のデザインと
合体していることが多いので

記事部分の背景だけを
変更することが難しい。

また、
ちょっと眩しいとは言え、
大多数のホームページやブログの背景は白色で
みなさんに馴染みがありますし、
清潔感を演出できるのも間違いないので
背景色を白にするケースも多いでしょう。

このブログも記事部分の背景色を白にしています。

では、背景色が白の場合、
文字をどうすれば視認性が上がる
または目に優しいのでしょう。

まず文字色を調整します。

暗色背景の時も、
背景と文字の色の輝度差(コントラスト)を
少し縮めてあげれば良いと書きましたが
白い背景の場合も同じです。

文字色を黒では無く、
少しだけ薄いグレーにすると
かなり読みやすくなります。



文字に関して大事な設定要素が
もうひとつあります。
文字のサイズ(フォントサイズ)について。

それは次回の話にしましょう。

＞＞次の記事 「文字サイズ」