WordPressでX-XSS-Protection(HTTPセキュリティヘッダー)を設定してXSS攻撃からサイトを守る方法

ウェブサイトの表示速度が突然低下し、理由もなくアクセス数が減少していませんか?意図しない広告が表示されたり、自分が設置していないポップアップが現れたりしていませんか?もしかすると、それはWordPressサイトへのXSS(クロスサイトスクリプティング)攻撃のサインかもしれません。

XSS攻撃は非常によく発生する一方で、その被害は甚大です。CVE Detailsの記録によると、2009年以降だけで9,903件の重大なXSS攻撃が確認されています。報告されていない攻撃まで含めれば、実際の被害規模は計り知れません。

ハッカーはこの脆弱性を悪用し、データの窃取、違法薬物やアダルトコンテンツなど自作の広告の掲載、顧客への詐欺行為など、多種多様な悪事を働きます。

とはいえ、心配は無用です。XSSからサイトを簡単に守る方法は存在します。本記事では、あらゆるXSS攻撃を強制的にブロックできる「WordPressでのX-XSS保護ヘッダーの追加方法」をご紹介します。

レスポンスヘッダーの仕組みと実装手順を解説した後、XSSやその他の攻撃に対してWordPressサイトを鉄壁にするためのセキュリティ対策のコツまで、詳しくお伝えします。

要点(TL;DR): MalCareオールインワンセキュリティソリューションで、XSS攻撃をはじめとするあらゆるマルウェアからWordPressサイトを守りましょう。プラグインをインストールするだけで、定期的な監視とスキャンにより、悪意ある攻撃からサイトを自動的に保護します。

WordPressにおけるXSS(クロスサイトスクリプティング)とは?

XSS(クロスサイトスクリプティング)は、Webサイトのユーザー入力部分に潜むセキュリティ脆弱性をハッカーが突く「インジェクション攻撃」の一種です。ユーザー入力とは、サイト内検索バー、コメント欄、お問い合わせフォーム、ログインフィールドなど、訪問者からのデータを受け付けるすべての場所を指します。

ハッカーは、こうしたフィールドに入力できる情報をさまざまな形で悪用するため、XSS攻撃にも複数の種類が存在します。ここでは、最も代表的な2つの攻撃手法を詳しく見ていきましょう。

格納型(ストアド)XSS攻撃

このタイプの攻撃は、Webサイトの訪問者を標的とします。具体的な流れを確認してみましょう。

たとえば、ブログ記事にコメントを投稿できる「examplesite.com」というサイトがあるとします。訪問者はコメント欄から感想や質問を投稿でき、送信されたコメントはデータベースに保存されます。

本来であれば、コメント欄にはデータベースへ送信する前に入力値を検証する設定が施されているはずです。

しかし、設定が不適切だと、通常のテキストコメントとコードの一行を区別できなくなります。

仮に、ハッカーが「このサイトのコメント欄は何でも受け付ける」と気づいたとしましょう。ハッカーはJavaScriptコードを入力できますが、表面上はごく普通のコメントにしか見えません。

サイト運営者が見落としがちなのは、ハッカーが本来許可されるはずのない「クリックしてください」というボタンまで仕込めるという点です。

その後、一般の訪問者(標的)がこのページにアクセスすると、ボタンをクリックした瞬間に悪意あるコードが実行され、ブラウザに感染します。ハッカーは訪問者のブラウザからCookieのデータを抽出できるようになるのです。

Cookieには、保存済みのログイン情報、クレジットカード情報、個人情報など、あらゆるデータが記録されています。Webサイトにログインするとき、「パスワードを保存しますか?」といったポップアップを目にしたことがあるでしょう。

通常、ユーザーはFacebook、メール、ショッピングサイト、仕事用サイト、YouTubeなど、複数のタブを同時に開いています。XSS攻撃が成立すると、開いている全サイトのCookieが盗み取られます。だからこそ「クロスサイト(サイト横断)」と呼ばれるのです。ハッカーは盗んだ情報で顧客を詐欺したり、さらに大規模な攻撃を仕掛けたりします。

この攻撃はサイト自体には直接影響しないように思えますが、結果は深刻です。訪問者全員が危険に晒されるうえ、Googleは速やかにサイトをブラックリスト登録し、ホスティング会社がアカウントを停止する可能性さえあります。

反射型(ノン・パーシステント)XSS攻撃

こちらの攻撃では、ハッカーはWebサイトそのものを標的にして侵入を図ります。仕組みを見てみましょう。

たとえば、顧客が目的の商品を素早く見つけられる検索窓がサイトにあるとします。本来、この検索窓はアルファベットのみを受け付けるべきですが、設定ミスで特殊文字や数字も通ってしまうと、検索エンジンはユーザーの入力テキストとハッカーが仕込んだ悪意あるコードを判別できません。

一度挿入された悪意あるコードは、サイトのデータベースへ到達し、実行されます。そうなると、ハッカーはサイトへのアクセス権を得て、悪事を働き始めます。さらに悪いことに、DDoS攻撃のような大規模なサイバー攻撃の踏み台にされる恐れもあるのです。

XSS攻撃がいかに深刻であり、なぜ対策が必要なのかがお分かりいただけたと思います。続いて、HTTPセキュリティヘッダーがXSS攻撃を防げる理由を掘り下げていきます。

HTTPセキュリティヘッダーとは?

HTTP(Hypertext Transfer Protocol)は、インターネット上でメッセージがどのようにフォーマットされ、伝送されるかを定義するプロトコルです。

Google ChromeやMozilla Firefoxなどの最新ブラウザには、HTTPレスポンスヘッダーが組み込まれています。これらのセキュリティヘッダーは主にメタデータ——ステータスエラーコード、コンテンツエンコーディング、コンテンツセキュリティ、キャッシュ制御など——で構成されます。

レスポンスヘッダーは、ブラウザがWebサイトとやり取りする際の挙動を指示します。たとえば、ユーザーがChromeでWebサイトを開くとき、HTTPヘッダーはブラウザ・サイト・Webサーバー間の通信方式を決定する役割を担っています。

理解を深めるため、具体例をひとつ紹介します。

サイトにSSL/TLS証明書を導入している場合、サイトはHTTPS経由(通信中のデータを暗号化する安全な接続)でのみアクセス可能になります。しかし、ハッカーはHTTP経由でアクセスする抜け道を見つけ出すことがあります。ネット上には、HTTP経由でサイトを開いてデータを盗むために使えるスクリプトがいくつも出回っているのです。

SSL証明書をより強固にし、HTTP経由のアクセスを完全に防ぐには、「Strict-Transport-Security(HSTS)」というレスポンスヘッダーを追加します。これにより、Safari、Chrome、Firefoxなどの主要ブラウザはHTTPSのみでサイトと通信するよう強制され、コンテンツスニッフィングやパケットスニッフィングの脅威を排除できます。

攻撃者がHTTP経由でサイトを開こうとしても、ブラウザは単純にページを読み込みません。

WordPressサイトに追加できるHTTPセキュリティヘッダーは他にもありますが、今回は、クロスサイトスクリプティングを緩和・防止する「X-XSS-Protection」に焦点を当てて解説します。

HTTPセキュリティヘッダーでX-XSS-Protectionを設定する手順

HTTPセキュリティヘッダーを設定するには、.htaccessファイルにアクセスして編集し、コードを追記する必要があります。WordPressファイルの編集には常に高いリスクが伴い、ほんの小さなミスでもサイト全体が壊れてしまう可能性があります。

そのため、作業前にWordPressサイトの完全バックアップを必ず取得してください。BlogVaultプラグインを使えば、わずか数分でサイトのフルバックアップを作成できます。万が一トラブルが発生しても、すぐに元の状態へ復元可能です。

WordPressファイルを編集する前に、必ずサイトのバックアップを取りましょう。BlogVaultなら信頼性の高いバックアップが簡単に取得できます。

ステップ1: サイトをスキャンしてヘッダーの有無を確認する

まず、すでにヘッダーが有効化されていないかどうかを確認しましょう。マネージドWordPressホストに問い合わせるか、securityheaders.comなどの無料診断サービスを利用します。

サイトのURLを入力してスキャンを実行すると、次のようなレポートが表示されます。

この結果から、X-XSS-Protectionヘッダーが設定されていないことが確認できます。

注: 多くのブラウザではデフォルトでX-XSS-Protectionが有効になっています。ただし、WordPressにこのセキュリティヘッダーを明示的に追加することで、ブラウザに対してXSS攻撃の確実なブロックを指示できるようになります。

ステップ2: WordPressの.htaccessファイルにアクセスする

WordPressホスティングアカウントにログインし、「cPanel > ファイルマネージャー(File Manager)」へ移動します。

フォルダ一覧が表示されるので、右側のパネルで「public_html」フォルダを探します。.htaccessファイルはこの中にあります。

ヒント: .htaccessファイルが見つからない場合は、設定(Settings)から「隠しファイルを表示(show hidden files)」を選択してください。

ステップ3: セキュリティヘッダーを挿入する

ファイルを編集するには、対象ファイルを右クリックし、表示されるメニューから「Edit(編集)」を選択します。

.htaccessファイルの末尾に、以下のコード行を追加します。

Header set X-XSS-Protection "1; mode=block"

入力後、忘れずにファイルを保存してください。

ステップ4: HTTPレスポンスヘッダーが機能しているか確認する

最後に、securityheaders.comで再度スキャンを実行し、ヘッダーが正しく機能していることを確認しましょう。

以上で完了です。セキュリティヘッダーの実装により、XSS攻撃をブロックする新たな防御層をサイトに追加することができました。

このガイドを参考に、WordPressサイトにセキュリティヘッダーを簡単に設定してXSS攻撃をブロックできました!

まとめ: あらゆる攻撃からの総合的な保護を

このWordPressセキュリティヘッダーを実装すれば、XSS攻撃からサイトを守ることができるはずです。しかし、XSSだけが懸念される脆弱性ではありません。あなたのサイトは、ハッキングやマルウェア感染など、数多くのリスクに常に晒されているデジタル空間の中に存在しています。

ハッキングの試みを阻止し、サイトを守り続けるには、十分なセキュリティ対策が欠かせません。MalCareを導入すれば、WordPressサイトを全方位的に保護できます。定期的なスキャンと監視に加え、悪意あるIPアドレスを自動的にブロックするファイアウォールも搭載しています。MalCareがあれば、サイトのセキュリティを安心して任せられるでしょう。WordPressサイトのセキュリティ強化については、こちらの詳細ガイドもぜひご覧ください。

今すぐMalCareでWordPressサイトを守ろう!