2023年第21回バックアップ - ICC｜WordPress基礎・演習

Contents

1 前回のおさらい
- 1.1 ECサイト構築に必要な周辺のこと
- 1.2 WooCommerceの設定（続き）
2 セキュリティとバックアップ
3 バックアップ

前回のおさらい

ECサイト構築に必要な周辺のこと

「特定商取引法に基づく表記」ページを用意
- 「特定商取引に関する法律」第11条
- WooCommerceに専用欄が用意されるので入力
「プライバシーポリシー」ページを用意
- 「個人情報保護法」に定められている
- 固定ページが下書きの状態で用意されている
決済代行会社との契約
- カード決済/コンビニ決済/キャリア決済など導入する場合は別途、決済代行会社と契約する
- WooCommerceと連携させる決済プラグインを追加で導入
配送会社/物流倉庫（フルフィルメント）と契約
インターネットバンキング
- Web/メール/アプリで入金確認できるので便利

WooCommerceの設定（続き）

送料の設定
- 「配送地域」 ×「配送クラス」の掛け合わせで送料が決まる
  - 「配送クラス」には「60サイズ」など梱包サイズを設定
  - クロネコヤマトなど利用する配送会社の料金表など参考にする
商品に送料の設定を反映させる
- 梱包サイズを指定する（60サイズなど）
決済の設定
- 銀行振込の場合
  - Japanized for WooCommerceがまだブロックエディタに対応していないので、「お買い物かご」「購入手続き」などの固定ページには、従来の形式（ショートコード[woocommerce_cart]など）で設置する必要があった。
- PayPal（クレジットカード決済）の場合
  - Japanized〜関連のPayPal決済モジュールをインストール
  - PayPal管理画面にてAPI情報を発行する
  - PayPal決済モジュールに、発行されたAPI情報を入力
WooCommerceが自動生成した関連するページ（カートなど）をグローバルメニューに追加
テスト注文
- カートに入れる
- カートの中身をみる
- お支払いへ進む
- 注文者情報を入力
  - 送料がリアルタイムに計算される
- 決済方法を選択
  - PayPalを選んだ場合はPayPalの画面が開くが今回は銀行振込を選択
- 注文完了の表示
  - 「マイアカウント」ページに移動すると、今注文した内容のステータスが「保留中」となっている
- Mailhogで注文明細メールが届いていることを確認
  - メール文面に振込先口座が書かれている
    - 商品代金を振り込むことができる
    - 名字が書かれていない、など不具合がある→メールテンプレートの修正が必要
管理者宛の注文通知メールも届いている
WP管理画面から注文内容を確認
- ステータスを「支払い待ち」に更新
- マイアカウントでステータスを確認すると「支払い待ち」に更新されている
入金があったと仮定し、ステータスを「処理中」に更新
- マイアカウントでステータスを確認すると「処理中」に更新されている
- Mailhogを確認すると「現在処理中です」というメールが届いている
発送が完了したと仮定し、ステータスを「完了」に更新
- マイアカウントでステータスを確認すると「完了」に更新されている
- Mailhogを確認すると「注文が完了しました」というメールが届いている
商品到着を待つ
（マイアカウントからいつでも過去の注文履歴を確認できる）

↓↓↓

ECサイトに必要なひと通りの機能を
WordPress + WooCommerceを使えば実現できる！

セキュリティとバックアップ

セキュリティは他人事ではない

以下のいずれかorすべてを放置した場合、サイトが改ざんされる確率はかなり高い

WordPressのコア（本体）をアップデートせず放置
プラグイン/テーマをアップデートせず放置
パスワードの使いまわし
サイトがSSL/TLSに対応していない
FTPの不適切なパーミッション設定

私自身も（記憶にある限り）過去4回、サイトが改ざんされた

2回は（たぶん）プラグインのセキュリティホールがきっかけ
1回は（たぶん）FTPの不適切なパーミッション設定
1回は（たぶん）設置していた他のアプリケーションのアップデート放置

どのように対応すべきか？→
「絶対に安全な方法」はない。「やるべき」とされていることは一通りやり、自動バックアップを設定する。

やるべきこと（私がやっていること）９選：

WordPressコア/プラグイン/テーマいずれも自動アップデート（※）を設定
使わないプラグインやテーマは放置せず削除
自動バックアップを設定する（プラグインを使用）
パスワードは使い回さず、サイトごとに自動生成しブラウザに記憶させる
セキュリティ系プラグインを設置
レンタルサーバー側のセキュリティ機能を有効化
SSL/TLSを設定
FTPで各ファイル/フォルダに適切にパーミッションが設定されていることを確認
wp-config.phpファイルを一般からは１つ上の階層（＝public_htmlの1つ上）に移動し、Web公開領域の外に置く

WordPressコア/プラグイン/テーマいずれも自動アップデートを設定

WordPressコアは、デフォルト設定ではマイナーアップデートは自動適用される
- （※）メジャーアップデートは手動
  - 使用中のプラグインが最新版のWPに対応済みであることを確認し、手動アップデート実行
プラグイン／テーマはデフォルト設定では手動アップデート
- 特に理由がないかぎり自動アップデートを設定する
  - プラグインファイルを直接カスタマイズするとアップデートで上書きされてしまう
    - アクション/フィルターフックを使ってテーマのfunctions.phpにカスタマイズ内容を記述、または外部プラグイン化していれば問題ない
    - 大きな機能変更があった場合は不具合が起こる可能性あり
      - その場合もバックアップを取っていればすぐに戻せる
- 自動アップデートの設定は別紙参照
テーマはデフォルト設定では手動アップデート
- 特に理由がないかぎり自動アップデートを設定する
  - 親テーマを直接カスタマイズするとアップデートで上書きされてしまう
    - 子テーマをつくり必要な箇所のみオーバーライドしていれば問題ない
    - 大きな機能変更があった場合は不具合が起こる可能性あり
      - その場合もバックアップを取っていればすぐに戻せる

参考）プラグインとテーマの自動更新 – WordPress 日本語
https://ja.wordpress.org/support/article/plugins-themes-auto-updates/

参考）WordPressの自動更新（バックグラウンド更新）機能を徹底解説 – Kinsta
https://kinsta.com/jp/blog/wordpress-automatic-updates/

注意）有償プラグインは自動アップデートに対応していないことが多い。手動で対応（配布元のサイトから最新版をダウンロードして、サイトに上書きでアップロード）。

使わないプラグインやテーマは放置せず削除

プラグインを「有効化」していなくても改ざんされる恐れあり
- 使用しないとなるとアップデートも放置しがち
  - 脆弱性の温床
使用していなくても、プラグイン/テーマのアップデート確認のために負荷もかかる
使わないプラグインやテーマは削除する

バックアップ

プラグインを使用して自動バックアップ

「Updraft plus」または「BackWPup」が有名
- 前者は復元機能も無料で使いやすいのでおすすめ
  UpdraftPlus WordPress Backup Plugin：
  https://ja.wordpress.org/plugins/updraftplus/

バックアップの保存先は、サーバーの外部に置くのが安全
- 同じサーバー上に保存すると、クラックされた場合にバックアップデータも感染している可能性もある。またサーバー自体が何らかの理由ですべてデータが飛ぶ可能性もある（バックアップの意味がなくなる）。
- DropboxやGoogle Driveなどクラウドストレージが便利
  https://www.dropbox.com/ja/
  https://www.google.com/intl/ja_jp/drive/