WordPressテーマの選択がサイトのセキュリティに与える影響とは？安全なテーマ選びのポイント

テーマの選択はサイトのセキュリティを左右します。初めてWordPress（WP）サイトを構築した頃、私は手当たり次第に無料テーマを試しては、デザインの変更を繰り返していました。当時は、テーマの選択ひとつでサイトのセキュリティが大きく変わることなど、まったく知りませんでした。

初めてサイトを作ってから長い年月が経ち、その間にいくつものウェブサイトを構築してきました。ハッキング被害に遭ったサイトもあれば、攻撃を未然に防げたサイトもあります。この経験から学んだのは、WordPress自体は安全なプラットフォームである一方、そのエコシステムこそが脆弱性の温床になりうるということです。実際、ハッキングされたサイトの大多数には、古くなったテーマやプラグインが使われていました。例えば「Templaticテーマ」はハッキングされ、このテーマを利用していたサイトの重要な情報が盗まれる事態に発展しました。サイトオーナーの中には、身代金要求を受けた方さえいたのです。

多くのWordPressサイトオーナーはサイトを更新していません。テーマに脆弱性が発見されると、開発者は修正パッチを含むアップデートをリリースします。しかしテーマを更新しなければ、脆弱性はそのまま残ります。ハッカーは常に、古い脆弱なテーマを使ったサイトを探し回っています。だからこそ、テーマの更新はWordPressサイトの安全にとって不可欠なのです。これはテーマ導入後に必ず行うべき対策ですが、実は導入前にも注意すべき点があります。ここでは、テーマを選ぶ際にチェックしたいポイントを紹介します。

テーマが簡単に更新できるか

アップデートは避けられないだけでなく、必要不可欠なものです。どれほど丁寧にコーディングされたテーマでも、時間が経てば必ず脆弱性が生まれます。その際、開発者は素早くパッチを含むアップデートを公開するはずです。通常、WPダッシュボードにログインすると、左側に古いプラグインやテーマに関する通知が表示されます。「インストール済みプラグイン」ページからテーマやプラグインを更新するだけ。とても簡単ですね。

しかし中には、簡単に更新できないテーマもあります。更新情報が開発元のブログやSNSで告知されるのみで、自分でテーマをダウンロードし、手動でアップロードしなければならないケースです。これは時間がかかるだけでなく、リスクも伴います。もし重要なアップデートを見逃してしまったらどうなるでしょうか？新しいアップデートの存在に気づいた頃には、ハッカーがテーマの脆弱性を突いてサイトに侵入しているかもしれません。

テーマがメンテナンスされているか

毎年、多くのテーマが開発を放棄されています。メンテナンスされていないということは、テーマの問題が修正されることもありません。サポートに問い合わせることもできず、新たなアップデートも期待できません。プラグインやテーマは遅かれ早かれ脆弱性を抱えるもの。そのときになっても、問題を修正するパッチは提供されません。残された選択肢は2つだけです。脆弱なテーマを使い続けてハッキングのリスクを負うか、別のテーマに乗り換えてサイトデザインを一から作り直すために多大な時間と労力を費やすか。テーマがサイトのセキュリティに与える影響がどれほど深刻か、お分かりいただけるでしょう。

放棄されたWordPressテーマの例：DeTube

なぜテーマは放棄されるのか

テーマやプラグインの中には、副業として開発されているものがあり、そうしたプロジェクトは自然と終わりを迎えます。また、無料テーマを開発しても、本業を持つ開発者にはメンテナンスする時間がありません。テーマが優れていて人気があっても、投入した時間と労力に対する報酬は得られません。やがてモチベーションを失い、メンテナンスを諦めてしまうのです。あるいは、生活を支える本業を優先せざるを得ず、自分の作品にかまっている余裕がないのかもしれません。

テーマがメンテナンスされているかどうかを確認する簡単な方法は、WordPress公式ディレクトリを調べることです。最終更新日を確認しましょう。1年以上更新されていないテーマは避けることをおすすめします。おそらく開発が放棄されている可能性が高いからです。すべてのテーマが公式ディレクトリにあるわけではないため、その場合はテーマについて議論されているフォーラムやグループを探してみましょう。Google検索すれば、そうしたコミュニティは見つかります。見つからなければ、WordPress全般のグループやフォーラムでテーマについて尋ねてみてください。WordPressには活発なコミュニティ文化があり、質問や議論のきっかけを作ることは歓迎されます。WPサイト用のテーマを選ぶ前に、必ずリサーチを行いましょう。

信頼できるソースからダウンロードできるか

現在、海賊版は蔓延しています。プレミアムソフトウェアを格安、あるいは無料で提供する怪しいサイトに出会ったことがある人も多いでしょう。こうしたサイトからテーマをダウンロードする前に、一度立ち止まって考えてください。なぜこのサイトは「ヌル化（nulled）」されたWordPressテーマを無料で配布しているのでしょうか？そのテーマが改ざんされていないと、どうやって確認するのでしょうか？ハッカーがヌル化テーマに悪意のあるコードを仕込んでいることはよく知られています。サイトオーナーがそのようなテーマをインストールした瞬間、ハッカーはサイトへのアクセス権を得てしまうのです。

さらに、たとえテーマが改ざんされていなくても、違法コピーである以上、開発元からのアップデートは受けられません。やがて脆弱性が生まれ、あなたのサイトは危険にさらされることになります。

テーマが複雑すぎないか

多機能なテーマは魅力的に映りますが、その裏側でどんなコードが書かれているのかは誰にもわかりません。何万ものテーマやプラグインが存在する市場では、差別化が難しく、開発者はマーケティングに使える機能をどんどん追加しようとします。新機能をできるだけ早く動作させるため、開発者は短期間で大量のコードを書きます。その結果、重要な品質チェックが疎かになりがちです。目を見張る機能満載のテーマにワクワクする気持ちは自然ですが、こうした脆弱なテーマはハッキングされやすいため、避けるのが賢明です。テーマの選択はサイトのセキュリティに直結します。賢い選択を心がけましょう。

テーマの開発者が信頼できる人物・企業か

評判の良い企業や個人によるテーマには、いくつかのメリットがあります。第一に、製品の品質が保証されており、市場投入前に厳しい品質管理を受けていることが期待できます。第二に、副業プロジェクトのように開発が途中で放棄される心配が少ないという安心感があります。

ここまで、テーマがWordPressサイトのセキュリティに与える影響について解説してきました。良質なテーマを選ぶための注意点として、以下の点も確認しておきましょう。

テーマがサードパーティ製フレームワークに依存していないか

近年の多くのテーマは、スライダー、ページビルダー、画像圧縮などの機能を提供しています。しかしテーマ開発者自身がこれらの機能を構築しているわけではなく、サードパーティのプラグインと連携することで実現しているケースがほとんどです。この依存関係は懸念材料になります。特定のプラグインでしか動作しない人気テーマも存在します。例えば、Xテーマを使っているならYスライダーしか動かない、といった具合です。他のスライダープラグインは使えません。つまり、XテーマとYスライダーの両方を購入する羽目になるのです。

年間プランか買い切りプランか確認したか

テーマやプラグイン・ソフトウェアを購入する前に、何に対して支払うのかを必ず理解しておきましょう。料金プランが月額なのか年額なのか買い切りなのか不明瞭な価格ページを目にすることがあります。そのようなページを見かけたら、月額制や年額制だと決めつけず、必ず疑問を解消してください。

オンラインフォーラムでは、「年間プランだと思ってプラグインを購入したら、後から月額プランだったと判明した」という体験談が語られています。これは毎月想定外の出費が続くことを意味します。もう一つの選択肢は、新しいテーマを買うか無料テーマを使うことですが、それでは不要になったテーマにお金を無駄にした上に、そのテーマのデザインに合わせてサイトを構築した時間と労力まで無駄になってしまいます。

まとめ

テーマがサイトのセキュリティに与える影響について、真剣に考えたりリサーチしたりする人は多くありません。特に小規模サイトの場合はなおさらです。「大海の一滴」だと考えてしまうからでしょう。しかし今日のハッカーは、大規模サイトと同じくらい小規模サイトも狙っています。なぜ小さなウェブサイトが標的にされるのでしょうか？その答えについては、「ハッカーはWordPressサイトをハッキングして何を得るのか？」という記事をご覧ください。

要するに、大規模サイトを作る場合でも小規模サイトを作る場合でも、テーマの選択には慎重であるべきだということです。テーマがWordPressサイトのセキュリティに与える影響を理解した今、この記事で挙げた質問を自問してみてください。