CenterShield – Site Security: Login Protection, 2FA, File Protection & Malware Scan

説明

CenterShield は、WPセンターが提供する国産で日本語対応の WordPress セキュリティ対策プラグインです。日本のサイト運営者と、サイトの保守を担う制作会社のために作っています。

It brings login protection, two-factor authentication, hardening, file protection and
malware scanning together in one place. Every setting explains what it protects and
what changes when you turn it on, so you can choose the measures your site needs
without security expertise.

管理画面とメッセージはすべて日本語です。

プラグインを有効化しただけでは、サイトは何も変わりません。「推奨設定をまとめて適用」で推奨の設定を一度に有効にするか、必要な項目だけを個別に有効にできます。

アカウントとログインの防御

• ログイン試行の制限 (ブルートフォース攻撃対策)
• ユーザー名の漏えい防止
• ログイン URL の変更
• ログイン画面のベーシック認証 (Apache では .htaccess に書き込み)
• reCAPTCHA v2 / v3
• Two-factor authentication (authenticator app, email, backup codes), with an optional grace period and a 30-day “remember this device” option
• XML-RPC の無効化 (Jetpack の署名付き通信は引き続き許可)
• 管理画面への IP アドレス制限

不要機能と脆弱な設定の無効化

• ピンバック
• REST API の制限 (Contact Form 7、Jetpack、WooCommerce など主要なプラグインは引き続き利用可能)
• 投稿者ページ
• テーマとプラグインのファイル編集機能、アプリケーションパスワード
• HTML の head 部分 (wp_head) に出力される不要なタグ (WordPress のバージョン、RSD リンク、絵文字スクリプトなど)

ファイル・サーバー保護

• WordPress の内部ファイル (wp-includes)、wp-config.php、設定ファイル、バックアップファイルへの直接アクセスの禁止
• アップロードフォルダでの PHP 実行の禁止
• ディレクトリ一覧表示の禁止
• X-Frame-Options などのセキュリティヘッダー
• 誰でも閲覧できる readme.html などのファイルの削除
• パーミッションの確認と修正

継続的な安全性の確保

• 攻撃パターンを含む入力の遮断 (簡易 WAF)
• コメントスパムの拒否 (ハニーポット、投稿間隔の制限、過去のスパム履歴)
• 2年以上更新されていない、またはお使いの WordPress で動作確認されていないプラグインやテーマの検知

マルウェアスキャン

• WordPress 本体と、WordPress.org で公開しているプラグインを、公式のチェックサムと照合。コメントや改行コードだけの違いは「情報」として報告
• 既知の脆弱性データベースとの照合
• プラグインに同梱し、作者のサーバーから更新するマルウェア定義によるパターン検査
• WordPress.org にないテーマやプラグインの、前回スキャンからの変更検知
• データベース (投稿、ウィジェット、管理者アカウント) の検査
• 隔離、公式の原本からの復元、差分の表示

外部サービス

このプラグインは、以下の外部サービスに接続します。いずれにも、サイトのコンテンツ、投稿データ、ユーザーデータは送信しません。また、すべての通信で、サイトのアドレスを含む WordPress 標準のユーザーエージェントではなく、固定のユーザーエージェントを使います。

api.wpcenter.jp (プラグイン作者の WPセンター)

マルウェア定義と既知の脆弱性データのダウンロードに使います。通信するのは、定義の更新を確認するときと、スキャンで脆弱性データが必要になったときです。送信する内容は、プラグインのバージョンと、あらゆる Web 通信に含まれる情報 (サーバーの IP アドレスと、”WPCenterSecurity/” にプラグインのバージョンを続けた固定のユーザーエージェント。サイトのアドレスは含まない) です。受信する内容は、マルウェア定義、その電子署名、脆弱性情報です。サイトのアドレスと、インストールしているプラグインやテーマの一覧は送信しません。照合はサイト内で行います。

利用規約: https://wpcenter.jp/plugin-terms/
プライバシーポリシー: https://wpcenter.jp/privacy/

この配信元の脆弱性情報は、Defiant, Inc. が提供する Wordfence Intelligence に由来し、The MITRE Corporation の CVE 情報を含みます。両者の著作権表示はスキャン結果の各項目に表示し、Wordfence Intelligence の利用規約はプラグイン内の licenses/wordfence-intelligence-terms.txt に収録しています。WPセンターは、Wordfence および Defiant, Inc. と提携、推奨、後援の関係にはありません。

Wordfence Intelligence: https://www.wordfence.com/threat-intel/
Wordfence Intelligence 利用規約: https://www.wordfence.com/wordfence-intelligence-terms-and-conditions/
Wordfence プライバシーポリシー: https://www.wordfence.com/privacy-policy/
CVE 利用規約: https://www.cve.org/Legal/TermsOfUse

api.wordpress.org と downloads.wordpress.org

スキャン中に公式のチェックサムを取得するために使います。送信する内容は、WordPress のバージョンと言語設定、照合するプラグインのスラッグとバージョンです。受信する内容は、ファイルのチェックサムです。

WordPress.org プライバシーポリシー: https://wordpress.org/about/privacy/

core.svn.wordpress.org と plugins.svn.wordpress.org

スキャン結果で「原本と比較」または「原本に戻す」を押したときだけ使います。送信する内容は、取得するファイルのバージョンとパスです。受信する内容は、WordPress.org の公式リポジトリにある、そのファイル1つの原本です。

WordPress.org プライバシーポリシー: https://wordpress.org/about/privacy/

www.google.com (reCAPTCHA)

ご自身のキーを入力して reCAPTCHA を有効にした場合にだけ使います。その場合、選んだフォームで reCAPTCHA のスクリプトを読み込み、トークンを Google に照会して検証します。送信する内容は、reCAPTCHA のトークン、シークレットキー、訪問者の IP アドレスです。

Google 利用規約: https://policies.google.com/terms
Google プライバシーポリシー: https://policies.google.com/privacy

第三者のリソース

• 脆弱性データ: Wordfence Intelligence Vulnerability Database (https://www.wordfence.com/threat-intel/) を利用しています。Copyright Defiant, Inc. CVE 情報の著作権は The MITRE Corporation に帰属します。Wordfence Intelligence の利用規約に基づいて再配信しており、その写しを licenses/wordfence-intelligence-terms.txt に収録しています。各項目の著作権表示はスキャン結果に表示します。
• 原本ファイルとの比較: WordPress.org の公開チェックサム API と SVN リポジトリ。
• マルウェア定義の一部: Linux Malware Detect (LMD) のシグネチャ (Copyright R-fx Networks, GNU GPL v2, https://github.com/rfxn/linux-malware-detect) を、GPL の条件に基づいて取り込んでいます。既知の不正ドメイン: URLhaus (abuse.ch, CC0, https://urlhaus.abuse.ch/)。
• QR コードの生成: qrcode-generator v1.4.4、Copyright (c) 2009 Kazuhiko Arase、MIT ライセンス (assets/js/qrcode.min.js)。

日本語

WPセンターが提供する、国産で日本語対応の WordPress セキュリティ対策プラグインです。
管理画面とメッセージはすべて日本語です。

ログイン保護、2段階認証、設定の強化、ファイル保護、マルウェアスキャンをまとめて管理でき、ひとつずつ「何のための設定か」「どんな効果があるか」を確認しながら有効化できます。
有効化した時点では何も変更されず、「推奨設定をまとめて適用」を押すか、項目ごとに選んで有効にします。

マルウェアスキャンでは、WordPress 本体と公式プラグインを原本と照合し、既知の脆弱性データベースと突き合わせ、不正コードのパターンを検査します。
検出結果からは、隔離、原本の復元、差分の表示ができます。

脆弱性情報は Wordfence Intelligence (Defiant, Inc. 提供) に由来し、CVE 情報は MITRE Corporation によるものです。各レコードに著作権表示を表示しています。
当プラグインは Wordfence および Defiant, Inc. とは無関係です。