セキュリティ診断プラグイン
ショップの設定やファイルを調べ、見直しが必要な箇所と対処方法を確認します。
診断は設定やファイルを読み取る操作です。ファイルを退避するときは、診断結果の確認画面から実行します。
詳しい操作は ご利用ガイド をご覧ください。
1. 診断を始める
- プラグインをインストールして有効にし、システム管理者のアカウントでログインします。
- 「セキュリティ診断」→「診断」を開きます。
- 「新しく診断する」を押し、完了するまで画面を開いておきます。
- 診断結果が開いたら、「重大」「要対応」の項目から「詳細」を読みます。
途中で止めるときは「一時停止」、続けるときは「再開」を押します。画面を閉じた場合も、「診断」を開き直して再開できます。最初からやり直す場合は、「中止」を押してから新しい診断を始めます。
2. 結果の見方
一覧には「確認項目」「現在値」「状態」「対応」「操作」が表示されます。「現在値」は、使用中のPHPバージョンや設定値などです。「分類」と「状態」を選ぶと、見たい項目を絞り込めます。
| 状態 | 確認すること |
|---|---|
| 重大・要対応 | 優先して対応する項目です。「詳細」で理由を読み、担当者へ相談してください。 |
| 要確認 | 設定の意図やファイルの用途を確かめてから、変更するか判断します。 |
| 未確認 | 必要な情報を読み取れないなどの理由で、判定できなかった項目です。 |
| 問題なし | 今回の診断では、その項目に問題が見つかりませんでした。 |
| 対応済み | プラグインで対応を終えた項目です。実行した内容は「対応履歴」で見られます。 |
「診断範囲」には、調べたフォルダやスキップした件数を表示します。読み取れなかったファイルや容量などの上限を超えたものは、スキップとして記録されます。「問題なし」は今回調べた項目についての結果で、ショップ全体の安全を保証する表示ではありません。
結果は1ページ50件ずつ表示し、「前へ」「次へ」で切り替えます。状態ごとの件数、絞り込み、レポート出力は、いま開いているページ内の結果が対象です。
3. 主な確認項目
- 推測されやすい管理画面URL、「admin」というログインID
- デバッグモード・HTTPS・IP制限などの設定
- PHPのサポート状況と、登録済みの脆弱性情報
- 公開フォルダのPHP・バックアップ・圧縮ファイルなど
- ページ管理の説明文やnoindex設定、robots.txt
- 画像のファイルサイズと縦横の大きさ
- 容量の大きいPNG・JPEGの圧縮やWebP変換の案内
SEOは登録された設定を調べます。公開HTMLや検索順位の調査は含みません。画像の圧縮・変換は、担当者が行ってください。
PHP2Shellの修正版より古いPHPを使っていると、診断前でも管理画面に通知が出ます。通知に出ているPHPバージョンをサイトの担当者へ伝え、EC-CUBE 4.3の最新パッチ版とPHP 8.3.36以降（8.3系）への移行を依頼してください。
移行の手順は、診断結果の「対応方法を見る」で読めます。バックアップ用のプラグインは、移行元のバージョンに合わせて選んでください。
- EC-CUBE 4.0/4.1：データ移行向けバックアップ生成 for EC-CUBE 4.0/4.1
- EC-CUBE 3：データ移行向けバックアップ生成 for EC-CUBE 3
移行先での取り込みには、別途対応する「データ移行アシスタント」を使います。サーバーの準備とデータの取り込みは担当者へ依頼してください。ホスティング会社が独自にPHPの修正を適用している場合は、その適用状況もお問い合わせください。
4. 問題に対応する
- 対象項目の「詳細」から「修正内容を確認」を開きます。
- ファイル名と処理内容を読み、使っているファイルか確かめてから、確認欄にチェックを入れます。
- 「バックアップして修正」を押し、完了後の結果を確認します。
退避は、元のファイルを保存してから、公開フォルダから取り除く操作です。アップロード先のPHPや、公開フォルダにあるバックアップ・圧縮ファイルの一部が対象です。退避前のファイルは暗号化して保存し、画面では「原本」と呼びます。
PHP・EC-CUBEの更新や設定変更、SEOの調整、画像の変換は、サイトの担当者へ依頼してください。「対応内容をコピー」を押すと、伝える内容をコピーできます。
5. 対応履歴と復元
「履歴・設定」→「対応履歴」→「詳細・復旧」で、処理したファイルと結果を見られます。元に戻す場合は「復元内容」を開きます。戻すファイル名と場所を読み、確認欄にチェックを入れて「復元する」を押してください。
6. 履歴・レポートの使い方
| 操作 | 使い方 |
|---|---|
| 過去の診断 | 「診断」には最近5件の履歴を表示します。それ以前の結果は「履歴・設定」から開けます。診断履歴・対応履歴は、それぞれ50件ずつ表示します。 |
| 結果の比較 | 「履歴・設定」で異なる2回の診断を選び、比べたい内容を選択して「比較」を押します。続きは「次へ」で開きます。比較できるのは「完了」「一部未確認」の診断です。 |
| レポート出力 | 表示中のページの結果をHTMLファイルで保存します。絞り込み中は該当する項目だけが対象です。 |
| 一時除外 | 「一時除外」ボタンがある項目に、変更を保留する理由と期限を残せます。期間は1・7・14・30日から選びます。状態は「確認済み（除外中）」となり、対応済みとは別の記録です。 |
| 診断データをすべて削除 | 診断履歴・結果・一時除外を削除します。対応履歴と復元用バックアップ、商品・受注・画像は削除しません。削除した診断データは元に戻せません。 |
診断中や一時停止中は、先に診断を完了するか中止してください。修正・復元が途中の場合も、その処理を終えてから履歴を削除します。
7. よくある質問
A. 設定変更やPHP更新など、担当者が行う項目には表示されません。ファイルの退避でも、保存先や権限などの準備が必要な場合があります。「詳細」に出ている理由を担当者へ伝えてください。
A. 診断だけなら、そのまま使えます。ファイルの退避も使う場合は、「履歴・設定」→「設定」で保存先が「利用可能」になっているかを見ます。設定が必要な場合は、保存先の設定をサーバー担当者へ案内してください。
A. 退避する対象ファイルの原本です。データベースやショップ全体をまとめて保存する機能ではありません。
A. そのファイルが置かれた経緯や、ほかのファイルへの影響を担当者に調べてもらってください。相談するときは、「対応履歴」や診断レポートを共有できます。