守りと保守を、ひとつに。

FEATURES

よくある侵入口を、先に閉じる。

ログイン・締め出し・バックアップ・更新・点検の記録は90日（最大2万件）残し、アドレスはハッシュにして保存します。

DEFAULTS

入れた時点で、ここまで働く。

締め出される心配のない機能は、最初からONです。ログイン画面の住所の変更や外部への接続など、使い方を決めてから入れたい機能は、初期値をOFFにしています。

INSTALL

管理画面から、検索して入れる。

1. 管理画面の「プラグイン → 新規プラグインを追加」で「KUMITATE HOSHU」と検索し、インストールして有効化する
2. 管理メニューの「KUMITATE HOSHU」を開き、設定の点検の結果を読む
3. ファイルの改ざんと脆弱性の確認を使うなら、設定で外部への接続をONにする
4. プロフィール画面で二段階認証を設定し、リカバリーコードを安全な場所に保管する

WordPress 6.6以上、PHP 7.4以上。管理画面の日本語表示は、translate.wordpress.org の翻訳が承認されるまで英語になります。

EXTERNAL

外へ出るのは、許可したときだけ。

初期状態では、どこにも接続しません。設定の「WordPress.orgと脆弱性リストへの接続を許可」をONにしたときだけ、次の2つから情報を取得します。

• WordPress.org（api.wordpress.org）：改ざんの確認に使う公式のファイル一覧。送るのは本体のバージョンと言語だけ
• Wordfence Intelligence（Defiant Inc.）：公開されている脆弱性の一覧。照合はサーバーの中で行い、サイトの情報は送らない

BEFORE YOU USE

使う前に、知っておくこと。

• サーバーやOSそのものは守れません。大量アクセスによる攻撃（DoS）も防げず、すでにPHPを実行できる攻撃者には効きません
• 「使わない入口を閉じる」はXML-RPCを止めるので、Jetpackやスマートフォンのアプリが使えなくなることがあります
• バックアップはサーバーの中（アップロードフォルダー内の非公開の場所）に置かれます。データベースを含むので、定期的にダウンロードしてサーバーの外にも保管してください
• nginxでは、バックアップのフォルダーへのアクセスが自動では止まりません。/wp-content/uploads/kumitate-hoshu/ に403を返す設定を加えてください
• All-in-One WP Migrationの無料版は、ブラウザーから取り込めるファイルの大きさに上限があります。大きなサイトはKUMITATE HOSHUの画面から復元します

FAQ

よくある質問。

ログイン画面の住所を変えて、忘れてしまった。

wp-config.php に define( 'KUMITATE_HOSHU_LOGIN_URL_OFF', true ); を書き足すと、いつもの wp-login.php に戻ります。

認証アプリの入ったスマートフォンをなくした。

リカバリーコードでログインし、プロフィールで二段階認証をいったん切ってから設定し直します。管理者は、ほかのユーザーの二段階認証をそのユーザーのプロフィールから切れます。

二段階認証は、すべてのログインに効きますか。

ログイン画面と、wp_signon() を使う独自のログインフォームに効きます。XML-RPCとアプリケーションパスワードは画面を通らないため、「使わない入口を閉じる」をONのままにしておくのが安全です。

KUMITATEのテーマでないと使えませんか。

いいえ。テーマに関係なく使えます。SWELLなどの有料テーマも、そのサイトで更新を受け取れる状態なら、自動更新の対象になります。

キャッシュプラグインやCDNと一緒に使えますか。

使えます。守りはキャッシュされないログインと管理画面の通信で働きます。キャッシュされたページのセキュリティヘッダーは、プラグインを有効にしたあとに作られたキャッシュから付きます。

WITH KUMITATE

テーマと一緒に、長く使う。

KUMITATE HOSHUは、テーマの見た目や機能を足すプラグインではなく、サイトを守って保ち続けるための道具です。無料テーマのKUMITATEや、機能を足すKUMITATE Site Toolsと組み合わせて使えます。

CHANGELOG

変更履歴。