PHPサイトのセキュリティ点検｜更新・バックアップ・委託先への確認項目

PHP・CMS・プラグインの利用環境を把握

PHPの脆弱性は大規模サイトだけでなく、テンプレやプラグインを使う中小サイトでも被害を生みます。委託先に任せきりだと、更新漏れや設定ミスが起点になりやすい。専門家でなくても優先順位を決め、短時間で実行できる対策を持つことが重要です。私もサイト運営経験から、まず「できることを確実にやる」ことを勧めます。

バックアップ・更新・防御設定を順に点検

最初に、Webサイトで稼働するPHPとCMS・プラグインのバージョン、更新担当者を確認します。コマンドラインのPHPとWeb用PHPが異なる環境もあるため、管理画面や提供元の案内も照合します。

次にバックアップと復元手順を確保し、検証環境で互換性を確認して、提供元が案内する修正版を適用します。緊急度が高い脆弱性は通常の定期点検まで待たず、担当者へ速やかに確認します。

WAFの設定、不要な公開範囲や書き込み権限、利用可能な管理画面の多要素認証も点検します。WAFだけで更新が不要になるわけではありません。更新後は表示・ログイン・フォームなどの主要機能を確認し、結果を残します。

委託先には対象と作業結果が分かる記録を依頼

丸投げで終わらせないために、依頼時に具体的な成果物と証跡を求めましょう。例：①更新作業の実施日時と対象バージョンの記録、②バックアップの保存先と復元手順、③WAF設定のスクリーンショットやログのサマリ、④アクセス権変更の前後スクショ。技術用語がわからなくても「証跡があるか」をチェックリストとして持っておくと監査が楽になります。管理会社に多数サイトを任せている場合でも、個別の証跡が取れているかは必ず確認すべきです。

通知の確認と緊急時の連絡手順を決める

・脆弱性アラートの受け取り窓口を1つに集約（メールやSlackの専用チャンネル）・月1回の簡単セルフチェック（バージョン確認、ログ確認、バックアップ検証）・脆弱性発覚時の連絡フロー（発見→影響範囲評価→一時対応→復旧）を文書化しておく。被害時に慌てないため、役割と連絡先は事前に決めておきましょう。

更新記録と復元できる備えを維持

技術を全部理解する必要はありません。重要なのは「更新・証跡・復旧」の3点を回せる仕組みを持つことです。委託先とただ契約するだけでなく、短くて確認可能なチェックリストを共有し、最低限の証拠（作業ログや設定スクショ）を定期的にもらう運用に変えるだけでリスクは大きく減ります。