.htaccess設定
セキュリティヘッダーとサーバー保護をGUIで簡単管理。 コードを書かずに.htaccessを安全に設定し、 攻撃からサイトを守ります。
サーバーレベルの防御は最初の砦
WordPressが動作する前にApacheが処理する.htaccessは、 攻撃者がサイトに到達する前にブロックできる強力な防御層です。 正しく設定すれば、多くの攻撃を未然に防げます。
WordPressサイト
不要
反映
2つの柱でサイトを守る
セキュリティヘッダーとサーバー保護の両方を 統合管理画面から簡単に設定できます
セキュリティヘッダー
ブラウザへの指示でクライアント側を保護
-
Content-Security-Policy (CSP) XSSやデータインジェクション攻撃を防止
-
X-Frame-Options クリックジャッキング攻撃を防止
-
X-Content-Type-Options MIMEタイプスニッフィングを防止
-
Referrer-Policy リファラー情報の漏洩を制御
-
Permissions-Policy ブラウザ機能へのアクセスを制限
サーバー保護設定
Apacheレベルでアクセスを制御
-
HTTPS強制リダイレクト すべての通信を暗号化
-
ディレクトリリスト無効化 ファイル一覧の公開を防止
-
重要ファイル保護 wp-config.php等へのアクセス禁止
-
XML-RPC無効化 DDoS・ブルートフォース攻撃を防止
-
SQLインジェクション対策 悪意あるクエリをブロック
スマートスキャンでCSPを自動生成
Content-Security-Policy（CSP）の設定は複雑で、 間違えるとサイトが壊れてしまいます。 スマートスキャンがサイトを解析し、最適なCSPを自動生成します。
サイトをスキャン
サイト内の全ページをクロールし、使用されているスクリプト、スタイル、画像、フォントなどの外部リソースを検出します。
ドメインを分析
検出したリソースをディレクティブ別に分類。Google Fonts、Analytics、CDNなど、必要なドメインを自動で特定します。
CSPを自動生成
分析結果から最適なCSPポリシーを生成。ワンクリックで適用でき、必要に応じて手動調整も可能です。
ラーニングモードで継続的に最適化
CSPを有効にした後も、ラーニングモードが継続的に動作。ブラウザから送信されるCSP違反レポートを収集・分析し、許可すべきリソースを提案します。新しいプラグインを追加した時も、必要なドメインを自動で検出できます。
- CSP違反レポートを自動収集
- ブロックされたリソースを一覧表示
- ワンクリックで許可リストに追加
- 不要なドメインは除外リストへ
10種類のサーバー保護設定
チェックボックスをオンにするだけで 高度な.htaccess設定を適用できます
HTTPS強制リダイレクト
HTTPリクエストをHTTPSに自動リダイレクト
ディレクトリリスト無効化
Options -Indexesでファイル一覧表示を禁止
重要ファイル保護
wp-config.php、.htaccess、ログファイルへのアクセスを禁止
XML-RPC無効化
xmlrpc.phpへのアクセスを禁止（ブルートフォース対策）
HTTPメソッド制限
GET/POST/HEAD/OPTIONS以外のリクエストを拒否
wp-includesアクセス制限
wp-includes内のPHPファイルへの直接アクセスをブロック
readme/license非表示
バージョン情報を含むファイルへのアクセスを禁止
SQLインジェクション対策
URLパラメータ内の危険なSQLパターンをブロック（管理画面除外）
ディレクトリトラバーサル対策
../などのパストラバーサル攻撃をブロック
PHPエラー非表示
本番環境でのエラーメッセージ表示を無効化
適用前にプレビュー、
テストモードで安全運用
設定を適用する前に、生成される.htaccessの内容をプレビューできます。問題がないことを確認してから適用できるので、サイトが壊れるリスクを最小限に。テストモードに切り替えるとSentinelSecurityが追加した部分を削除し、本番モードで再度追加。万が一カスタムモードで間違った設定をしてサーバーエラーになっても、SentinelSecurity Security Headersのブロックを削除すれば元に戻ります。
# BEGIN SentinelSecurity Security Headers
<IfModule mod_headers.c>
Header set X-Frame-Options "SAMEORIGIN"
Header set X-Content-Type-Options "nosniff"
Header set X-XSS-Protection "1; mode=block"
Header set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>
# HTTPS Redirect
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>
# Disable Directory Listing
Options -Indexes
# Protect wp-config.php
<Files wp-config.php>
Order Allow,Deny
Deny from all
</Files>
# END SentinelSecurity Security Headers