PHPやWordPressの脆弱性が見つかったとき、すぐにバージョンアップできないホームページもあります。古いプラグインとの組み合わせや独自の改造を調べる必要があるためです。その場合、更新の準備中だけホームページを一時非公開にする判断もあります。ただし、「メンテナンス中です」と表示すれば、必ず攻撃を防げるわけではありません。
案内を見せることと、危険な処理へ届かせないことは別
メンテナンス表示は、訪問者に一時停止を知らせるための画面です。一方、アクセス制限は、対象のページやプログラムに届く通信を制限する仕組みです。見た目は同じ案内画面でも、裏側で何を止めているかによって役割が変わります。
たとえばトップページだけを案内へ差し替えても、別のURLにある処理が動き続けていれば、その処理への通信まで止まったとはいえません。WordPress上のプラグインで案内を表示する方式では、案内を出す前にPHPやWordPressの処理が動く構成も考えられます。どこに脆弱性があり、どの経路を制限すべきかを確認する必要があります。
WordPress公式のセキュリティ解説でも、WordPressだけでなくウェブサーバーなどの環境を含めた対策が扱われています。画面の見た目だけを安全の判断基準にしないことが大切です。出典：WordPress公式のセキュリティ対策
更新に時間がかかるとき、公開を止める選択肢がある
日頃メンテナンスされていないサイトでは、バージョンアップによる不具合を調べるだけでも時間が必要です。「何も確認せず更新する」か「危険を知りながらそのまま公開する」か、二つだけで考える必要はありません。状況に応じて一時的に通信を制限し、復旧・更新の準備を進める方法があります。
判断では、対象の脆弱性、利用中のバージョン、攻撃を受ける条件、サーバー会社の対応状況、ホームページ停止による業務への影響を整理します。会社案内だけのサイトと、日々の連絡に欠かせないサイトでは、停止の影響も違います。「どの機能を止めるか」「お客様へ何を案内するか」「再開の判断を誰がするか」を合わせて決めます。
これは更新そのものの代わりではありません。一時的に公開を制限しても、脆弱性が修正されたことにはならないため、対応版への更新や不具合修正など、根本の対応を続ける必要があります。
事前に共有しておきたい情報
緊急時にすぐ判断するため、保守担当者とは次の内容を事前に整理しておくと役立ちます。
- レンタルサーバーとドメインの契約先、連絡できる担当者。
- WordPress以外に、サーバーへ接続・管理する手段があるか。
- 公開停止を判断する連絡先と、事前に合意した対応範囲。
- ホームページ停止中に使える電話や公式LINEなどの案内先。
- バックアップの場所と、復旧作業に必要な情報。
パスワードを誰でも見られる文書へまとめる、という意味ではありません。必要な人だけが安全に情報へアクセスできる管理方法を決めておきます。担当者だけが知っている状態を避けつつ、むやみに共有範囲を広げないことがポイントです。
検索結果への影響も考える。ただし安全確保を優先
一時停止の際には、検索エンジンへの伝え方も確認します。HTTPステータスコードは、ページの状態をサーバーが伝える番号です。Googleは短期間の全面停止について、一時的な利用不可を表す503の利用を案内しています。ただし、長い停止は検索上の表示に影響する可能性があります。出典：Googleのウェブサイト一時停止ガイド
503を返すこと自体が攻撃対策になるわけではありません。アクセス制限と検索エンジンへの応答は、目的の違う確認事項です。緊急時は被害を広げないための判断を優先し、その上で停止を長引かせない準備を進めます。
再公開は、更新ボタンを押した直後ではなく確認後に
更新後は対象バージョンだけでなく、主要ページ、ログイン、リンク、お問い合わせフォームなどを確認します。不正侵入の疑いがある場合には、表示が元に戻っただけで安全と判断せず、影響調査も必要です。公開制限を解除する条件を決めておけば、慌てて再開するリスクを減らせます。
コギリワークスでも、状況に応じて一時非公開などを検討します。ただし、レンタルサーバー会社が管理画面や接続手段を全面的に遮断した場合など、こちらで操作できないことがあります。対応方法は環境と契約範囲によって異なり、完全な防御や確実な復旧を保証するものではありません。