Wordfence の代替をお探しですか？決め手になる6つの問い
セキュリティプラグインを好奇心から入れ替えることは、めったにありません。たいていはきっかけがあります。サイトが遅くなった、受信トレイが通知であふれた、あるいはデータ保護の監査で、そのプラグインが実際に何を外部へ送っているのかを問われた、といったことです。この記事では、よくあるきっかけを整理し、それぞれについて代替ツールが答えるべき問いを挙げます。
きっかけ1：通知が多すぎて、本物が少なすぎる
最も多く、しかも最も危険な理由です。毎週3件の無害な検出結果をクリックして消していると、いつか本物までクリックして消してしまいます。そのため、どの代替ツールにも問うべきは「パターンがいくつあるか」ではなく、誤検知をどう扱うかです。
見分けるポイントは次のとおりです。そのツールは、「何を」探しているのかを示しているか？ 検出結果を承認できるか、そしてファイルが変わったら承認は無効になるか？ Kakapo Security は、すべての承認を、読み取った内容のチェックサムに紐付けます。ファイルに何か変更が加えられた時点で、検出結果は再び表示されます。不便ですが、正しいやり方です。
「すべて承認」という一括ボタンは、便利さではなく警告のサインです。ワンクリックでの一斉恩赦であり、しかもその対象は、1件ずつ確認すべきだったケースそのものです。
きっかけ2：サイトが遅くなった
数万のファイルをスキャンするには、処理時間がかかります。重要なのは、その時間を誰もいないときに使うのか、それとも訪問者がいる最中に使うのかです。代替ツールに問うべきは、スキャンが時間枠を決めて少しずつ実行されるか、一時停止できるか、次回の開始時に中断したところから再開するか、です。
よく忘れられる2つ目の問いは、ページへのアクセス1回ごとに何が起きるか、です。ファイアウォールは、そのたびにチェックを行います。ルールが多いほどリクエストごとの処理が増えるため、ルールの数が多いことより、簡潔で検証済みであることがいっそう重要になります。
きっかけ3：何も外部に送りたくない
セキュリティプラグインは、ユーザー名付きのログイン試行、IP アドレス、ファイル一覧、データベースの内容を目にします。そのうち何かが外部サービスに送られるなら、そのサービスは処理活動の記録に記載する必要があります。代替ツールに問うべきは、何がサーバーの外に出るのか、そしてそれを止められるのかです。
Kakapo Security では、ファイアウォールのパターン、スキャンパターン、チェックのロジックがプラグイン内にあります。外部との通信は、あなた自身が設定したものだけです。api.wordpress.org からの WordPress コアのチェックサムと、登録した場合に限り、独自の脆弱性情報源です。後者は初期状態では空です。
きっかけ4：本当の弱点はログイン
乗っ取りの多くは、コードの脆弱性ではなくパスワードを経由して起こります。そのため、代替ツールがログインまわりで何を提供しているかを確認してください。それも、ログイン失敗の回数制限にとどまらず、ログイン URL の変更、パスワード強度の強制、現在のセッションの確認と終了、ログインを許可する時間帯、アクセス元の国による制限といった点です。
そして、二要素認証についての耳の痛い問いがあります。メールで届くコードで足りるのか、それとも Authenticator アプリが必要なのか？ Kakapo Security が提供するのはメールのコードだけで、管理画面にもそのように記載しています。多くの編集チームにはそれで十分です。TOTP が必要なら、乗り換える前にその点を確認しなければなりません。
きっかけ5：いざというときに情報がなかった
インシデントの後に重要なのは、何を防いだかではなく、何を証明できるかです。誰がいつログインしたか、どのファイルが変更されたか、誰がどの設定を変えたか。代替ツールに問うべきは、ログがあるか、そして後から変更されたことがそのログから見て分かるかです。
Kakapo Security は操作ログのエントリーをチェーン化し、そのチェーンを wp-config.php にある値を使って計算します。エントリーを変更したり削除したりすると、チェーンが目に見える形で途切れます。金庫ではありませんが、これこそが、ログと、こっそり書き換えられる一覧との違いです。
きっかけ6：5つの役割に5つのプラグイン
セキュリティ、Cookie、バックアップ、表示速度。テーマごとにプラグインが1つずつあり、それぞれに別々の管理画面、ログイン、請求書があります。これがきっかけなら、問うべきは「どのセキュリティプラグインか」ではなく、残りの構成要素も同じ提供元から揃うか、そしてそれらを同じ操作感で使えるか、です。
チェックリストのまとめ
| 基準 | 重要な理由 | Kakapo Security の場合 |
|---|---|---|
| 誤検知の扱い | 通知を消されるだけのツールは、何も守れない | 承認はファイルのチェックサムに紐付け。不採用の手法を誤検知数とともに文書化 |
| 読んで確かめられること | 知っているものしか評価できない | 配布されるソースコードに40のファイアウォールパターンと22のスキャンパターン |
| 処理時間 | セキュリティがサイトを遅くしてはならない | 時間枠を決めて少しずつ実行、一時停止可能 |
| データの外部送信 | 処理活動の記録に記載が必要 | 検出のための問い合わせなし。コアのチェックサムと、任意で独自の情報源のみ |
| ログイン保護 | 乗っ取りの多くはパスワード経由 | URL の変更、パスワード強度、セッション、ログイン可能時間帯、国別ブロック |
| 二要素認証 | 2つ目の認証要素は、どんなに良いパスワードにも勝る | メールのコードのみ、TOTP なし（意図的にそう明記） |
| ログ | インシデントの後に重要なのは証拠 | チェーン化し、wp-config.php の値で計算 |
| 複数のサイト | 週あたりの時間 | 1つのライセンスで9つのプラグイン、他のインストールのリモートステータス |
どの代替ツールにもできないこと
WordPress 内のプラグインは、どれも Web サーバーの手前にあるファイアウォールの代わりにはなりません。PHP が起動してから初めて動くからです。どのプラグインも、最新のアップデートの代わりにはなりません。そして、どんなスキャンもすべての悪意のあるコードを見つけられるわけではありません。見つかるのは、そのパターンに似たものです。この3つの文を覚えておけば、選び方が変わり、落ち着いて選べるようになります。
サイトが確実にクリーンだと分かっているうちに、ファイルの状態を記録してください。感染した後に記録した状態は、悪意のあるコードを正常な状態として扱ってしまい、それ以降、そのコードが検出されることは二度とありません。