【SSL化が簡単にできる】Really Simple SSLでセキュリティ強化

今回は、WordPress の強化、脆弱性の検出、SSL 証明書の生成により、サイトを「https」に簡単におこなうことができます。

また、設定をおこなうことでWordPress のセキュリティを簡単に向上することができます。

今回のポイント

ワンクリックで、サイトを「https」にすることが可能
設定をおこなうことで、WordPress を強化
Really Simple SSL の有料版を使用するとさらに強化が可能

1 有料版とは
2 Really Simple SSL ダウンロードとインストール
3 Really Simple SSL 簡単設定
4 Really Simple SSL ダッシュボード
5 Really Simple SSL 設定
6 まとめ

有料版とは

ここで、「有料版」について少しご説明します。

Agency：代理店。25のドメイン。また、エージェンシー無制限ライセンスには、別のマルチサイトプラグインがバンドルされています。
Professional：プロフェッショナル。5つのドメイン。
Personal：パーソナル。シングルライセンス。

以上となります。3種類違いは、ライセンスの違いになります。また、「無料版」との違いは全ての機能が使用できるところにあります。

「無料版」にはない主な機能は

HSTS プリロードリスト
セキュリティヘッダー
混合コンテンツ修正プロ
HTTP 厳格なトランスポートセキュリティ
高度な強化機能
脆弱性対策
ログイン保護
プレミアムサポート

などになります。これらは「無料版」で設定できないようになっています。

それではさっそく、紹介していきたいと思います。

Really Simple SSL ダウンロードとインストール

まず、WordPress管理画面にある「プラグイン」の「新規プラグイン」を選択します。

次に、右上にある検索ボックスに「Really Simple SSL」と入力します。

インストール後は「有効化」にしてください。すると、WordPress 管理画面にある「設定」に「SSL セキュリティ」という項目が追加されます。

Really Simple SSL 簡単設定

それでは、Really Simple SSL の簡単設定をおこないます。

プラグインを「有効」にすると、SSL の設定に関する画面が表示されます。「SSL を有効化」を選択します。

もし、ホスティング会社のSSL の設定ができておらず証明書の検出ができなかった場合、次のような画面が表示されます。

SSL を有効化すると続いて、次にReally Simple SSL 一部機能の有効化をおこないます。

次に、適当なメールアドレスを設定します。

最後に、追加のプラグインを入れるかになります。これは、同意管理、法的文書、分析などのプライバシーに重点を置いたプラグインなどです。

必要であれば「インストール」。そうでなければ「スキップ」で良いでしょう。

以上で簡単設定は以上です。

Really Simple SSL ダッシュボード

では次に、ダッシュボードについてです。

Progress 作業状況

これらは、どの作業が完了しているか「タスク」で表示しています。そして、パーセント表示で進捗率を表示しています。

終わっていない「タスク」は、「作業待ち」となっています。

ちなみに、「作業待ち」となっている「タスク」は選択できるようになっています。できるだけ「完了」の「タスク」にしましょう。

Status 状態

次に、これらは「サイトのスコア」を表しています。

まず、「Check SSL Health」（SSL の状態を検診）を選択することで現在のスコアを確認することができます。

また、「Qualys SSL Labs」では詳細なスコアを確認することができます。

Vulnerabilities 脆弱性

そして、これらは「システム全体の脆弱性を表示」を表しています。

例えば、WordPress のプラグイン、テーマなどアップデートについてなどです。

問題がなければ、緑色のアイコンでチェックが入ります。もし何かあれば、緑以外の色でアイコン表示されます。また、「Settings」や「Update」などの表示されます

Really Simple SSL 設定

それでは次に、設定について説明したいと思います。「有料版」の箇所は割愛させていただきます。

全般

まず、「全般」についてです。尚、画面右側にはNotifications（通知）が表示されています。

これは、設定項目に対する通知になり設定する際のヒントになるので活用しましょう。

全般

すべての通知を無視する…OFFに設定
- 通知が無効になります。
システムの状態
- 現在のシステム状態をダウンロードできます。
プラグイン削除時にすべてのデータを削除…自由に設定
- Really Simple SSL を削除時に設定ファイル含めすべて削除されます。
.htaccess ファイルの編集を中止…自由に設定
- .htaccess ファイルの編集がおこなえなくなります。

メール

メールアドレス…適当なメールアドレスを設定
- 設定したメールアドレスになります。
メール認証…認証設定する
- メールアドレスの認証するため、「送信」をおこないます。
メールで通知…ONに設定
- 重要な変更や更新などを通知します。

この個所では、「メール認証」をおこなってください。

「送信」ボタンを選択すると、任意設定したメールアドレスに「メールを認証する」リンクが送信されるので認証すること完了となります。

SSL

次に、「SSL」の設定になります。

Redirection

転送方法…301 .htaccess 転送
- 古いURLにアクセスしたユーザーを新しいURLに転送するための機能。

Mixed content

混合コンテンツ修正機能…ONに設定
- 保護されたサイト（https）に、保護されていないサイト（http）を介して読み込まれる要素がある場合などを修正する機能。
混在コンテンツ修正機能 – init のフック…OFFに設定
- フロントエンドの混在コンテンツ修正されない場合のみ有効にする。
混在コンテンツ修正機能 – バックエンド…OFFに設定
- WordPress の管理環境に混在コンテンツがある場合のみ有効にする。

この個所では、「転送方法」「混合コンテンツ修正機能」の2つを設定しましょう。

転送方法について

301 .htaccess リダイレクト」設定を有効にすると、Really Simple SSL は最適なリダイレクトを検出します。

しかし、検出されたリダイレクトによってループが発生する可能性があります。結果、サイトロックアウトという現象がまれに起きるようです。

対処方法

それでは、対処法ですが以下のようにおこなうことで対応できます。

対処法

FTPソフトを使用して.htaccess ファイルを開く。
.htaccess ファイルを開き #Begin Really Simple Security という行を探す。
#BEGIN と#END の間を全て削除し、保存します。
Really Simple SSL が .htaccess をこれ以上編集できないようにする。
- ルート直下にあるwp-config.php を開く。
- 先頭の PHP タグの後に次の行を追加します。
  - <?php define( ‘RSSSL_SAFE_MODE’, TRUE );
Really Simple SSL の設定を「301 PHP リダイレクト」に変更。
wp-config.php ファイルからセーフモード定数を再度削除。