Appearance
ConoHa WING ホスティング運用セキュリティチェックリスト
本番・ステージング環境（ConoHa WING）における、個人情報漏洩リスク低減のための運用チェックリストです。コードデプロイとは別に、運用者が定期的に実施してください。
関連ドキュメント
1. WAF（不正アクセス遮断）を有効化する
ConoHa WING の WAF は万能ではありません。有効化していても、WordPress 本体・プラグインの脆弱性対策は別途必要です。
| 項目 | 内容 |
|---|---|
| 実施場所 | ConoHa WING コントロールパネル → 対象ドメイン → セキュリティ / WAF（名称はプランにより異なる場合あり） |
| 推奨 | 本番・ステージングとも WAF を ON |
| 注意 | WAF ON だけでは不十分。下記「WordPress / プラグイン更新」を必ず併用する |
詳細手順は ConoHa WING サポート の WAF・セキュリティ関連記事を参照してください。
2. WordPress 本体・プラグイン・テーマを最新に保つ
漏洩の多くは、未パッチの WordPress コアまたはプラグインの脆弱性が原因です。ホスティングのセキュリティ機能を過信しないこと。
確認頻度
- 月次（最低でも四半期に 1 回）: 管理画面で更新の有無を確認
- セキュリティアドバイザリ公開時: 該当コンポーネントを優先更新
更新手順（本番）
- ステージングで先行検証 — プラグイン・テーマ更新後、主要画面（会員登録・ログイン・有料記事・管理画面）を確認
- バックアップ — ConoHa のバックアップ機能または DB / ファイルのバックアップを取得
- 本番更新 — WordPress 管理画面「ダッシュボード → 更新」から core / プラグイン / テーマを更新
- 動作確認 — 会員ログイン、決済導線、Cron（WP-Cron 実効化）を確認
本リポジトリ（カスタムテーマ）の更新
- 本 PR 以降のテーマ変更は
./bin/deploy-all.sh/./bin/deploy-all-staging.shでデプロイ - PHP バージョンは PHP バージョンの更新 を参照（ConoHa WING ではドメイン単位設定に注意）
3. Dependabot と依存関係
| 対象 | 確認方法 |
|---|---|
| GitHub リポジトリ（composer / npm） | Dependabot セットアップ に従い PR をレビュー・マージ |
| 本番 WordPress プラグイン | 管理画面の「プラグイン」で更新 |
4. 環境別チェック項目
本番（slotkouryaku.com 等）
- [ ] WAF が ON である
- [ ] WordPress コアが最新（またはサポート対象バージョン）
- [ ] 利用中プラグインに未適用のセキュリティ更新がない
- [ ] PHP 8.3+（プロジェクト要件）で稼働している
- [ ] HTTPS が有効（会員ログイン・決済）
- [ ] SiteGuard CAPTCHA（会員ログイン）が有効 —
SiteGuardLoginCaptchaUtil - [ ]
wp-cron.phpがサーバー Cron で定期実行されている — WP-Cron 実効化 - [ ] 利用規約・プライバシーポリシー・特商法が公開されている（
/terms//privacy-policy//tokushoho/） - [ ]
WP_ENVIRONMENT_TYPEがlocalでない（推奨:production、または未設定＝ WordPress デフォルトでproduction）。localだと一部 REST の権限チェックがバイパスされる — 下記「WP_ENVIRONMENT_TYPE」参照 - [ ] 既存環境: テーマ有効化後に
db_legal_document_versionがシードされ、管理画面「サイト運営 → 法務文書」で現行版が固定ページと一致していることを確認する。規約改定は定数 bump / 手動貼付ではなく、同画面で新版作成→「現行版にする」（会員再同意は利用規約のみ）。手順は 法務文書版管理.md
ステージング（staging.slotkouryaku.com 等）
- [ ] 本番と同様に WAF を検討（可能であれば ON）
- [ ] 本番反映前にプラグイン更新をステージングで検証
- [ ] 本番 DB を同期した場合、個人情報の取り扱いに注意 — DB 同期
- [ ]
WP_ENVIRONMENT_TYPEがlocalでない（推奨:staging）。誤ってlocalにすると一部 REST でmanage_optionsチェックがバイパスされる — 下記「WP_ENVIRONMENT_TYPE」および ステージングデプロイ 参照
WP_ENVIRONMENT_TYPE（REST 権限バイパス）
テーマ内の WordPressPermissionChecker 等は、wp_get_environment_type() === 'local' のときだけ capability（manage_options）チェックを省略する（Local WP 向けの開発用ショートカット）。
| 環境 | 推奨値 | 注意 |
|---|---|---|
| ローカル | local（Local WP 等が設定） | 意図どおり。公開到達不可な環境でのみ使用する |
| ステージング | staging | 絶対に local にしない |
| 本番 | production（または未設定） | 絶対に local にしない |
テーマのデプロイスクリプト（config/staging.env 等）は WP_ENVIRONMENT_TYPE を設定しない。各環境の wp-config.php（またはサーバー環境変数）で確認・設定する。
5. インシデント発生時
- 影響範囲の特定（アクセスログ、WordPress 管理画面、ConoHa ログ）
- 脆弱性パッチの緊急適用
- 必要に応じてパスワードリセット・セッション無効化の検討
- 利用規約・プライバシーポリシーに記載の免責・対応方針に沿って対応
最終更新: 2026-07-20