タグ: 問題解決

For use the server our managed

DtAサポートとはどういったサービスなのか？

• 弊社で管理したサーバとWebサイトの更新や改善など弊社による作業をご利用いただくサービスです。
• 年間最大3時間までのサイト更新などの作業時間を含みます。（作業時間が超過した場合は、都度見積をさせていただきます。作業内容は、OneDriveにて共有いたします。オプションにて月額による対応もあります。）
• サイト更新作業に、webフォームの設置、アクセス解析タグ、WorPressなどのインストール、Webファイヤーウォールの設定、画像加工や差し替え、サイトの表記文章の書き換えなど、サイト及びdbのバックアップ作業やアップデート対応、サイトの表示スピード改善や最適化、検索サイトからの評価改善施策、Analytics及びSearchConsoleのアカウント開設、Googleマップの設置、facebookページのAPI掲載、YouTubeのエンベット（掲載）、Instagramの設置、が可能です。
• メールパスワードやFTPパスワードは、弊社で設定します。年間、何度も変更可能です。（セキュリティの観点からも定期的な変更をお願いしています）
• WordPressなどのインストールも上記サイト更新の作業時間内で可能です。（セキュリティに対応したインストールと運営できるように設定します。ご要望に応じて不正アタックなども定期的に監視可能です。セキュリティレベルはスパムアタック状況に応じて設定します。）
• WordPressのアップデートにも対応いたします。（データベース及びサイトデータのバックアップの上、アップデートいたします）
• サーバ初期費用に、サーバ移転費用を含みます。（WordPressなどの移転作業を含みます）
• メールアカウント最大30。サイトデータ最大30ギガ。

管理サーバ及びオプション料金について

初期費用：3万円/初回のみ
年間使用料：3万円/1年間
※Web更新作業は難易度に影響して追加1時間2,500円〜8,000円です。（サイト内文言の書き換えは2,500円/h、システムやdbに影響する作業及び難易度の高いSEO対応は5,000円/h以上）
サブドメイン使用の場合、年間使用料1年分となります。他社からサブドメイン移転の場合は初期費用が必要です。

オプション：DtAサイト運営
DtAサイト運営A（毎月3時間版）：1万円/1ヶ月
DtAサイト運営B（毎月6時間版）：2万円/1ヶ月
※最短6ヶ月の契約となります。
※DtAサイト運営は、弊社以外のサーバをお使いの場合にも可能です。初期費用が必要になります。

SSL初期費用：5,000〜25,000円/初回のみ
SSL年間使用料：5,000〜125,000円/1年間
※SSLは使用するブランドやSSLのタイプにより料金が変動します。現在、約半数のアカウントでSSLをご利用いただいております。

（上記すべて税別）
初期費用・使用料・作業料は、銀行振り込みによる前払いになります。

お約束

• 顧客の個人情報・サーバ管理のIDやPasswordは厳重に管理いたします。（必要でしたら機密保持契約を締結いたします。紙での契約締結は別途3,000円税別）
• 上記情報は、顧客の請求に応じて開示いたします。

以下のお問い合わせの「新規のご相談」から
　ご相談：DtAサポート　

利用に際してお願い

1. メール・FTP及びWordPressなどのログイン情報の管理を厳重にお願いいたします。
   https://dt-a.net/seo/seo-tips/wordpress-secure-setting/
   上記ページの５〜９。
2. 定期的なパスワードの変更をお願いいたします。過去のパスワードの使い回しやローテーション使用はお止めください。不正アクセスの原因になります。FTP及びメールに関しましては弊社で対応いたします。
3. 過大なデータのアップロードやダウンロード（1日100ギガを上限にしていますが、それ上回るデータのやりとり）。
4. WordPressなどCMSをインストールした際には、弊社向けに管理権限を共有いただいております。使用用途は、不正アタックなどの調査の為です。
5. サイトのAnalytics及びSearchConsoleのアカウント共有をお願いいたします。使用用途は、上記同様に不正アタックなどの調査の為です。

免責事項：お許しいただきたい

• サイトデータ及びdbデータのバックアップのタイミングはご相談の上。つまり、ご指定のタイミング（深夜早朝及び土曜日曜など弊社営業時間外、弊社の作業スケジュール上対応困難なご指定タイミング）でのバックアップは別途お見積させてください。
• サイトデータ及びdbデータを完璧に保存する保証はできません。（データ不足や損失による損害賠償には応じられません）
• 不正アタックやマルウエアろウィルス感染を完璧にガードする保証はできません。弊社の持つ最大限のプロテクトは実行します。
• 弊社が設置するWebフォームなど動作の確認を行った上でお渡しいたしますが、常時動作を保証するものではありません。アクセス状況などにより動作が不安定なタイミングがあることをご了承ください。
• メール及びFTPやWordPressなどのアクセスIDやPasswordの管理を厳重にお願いいたします。不正アタックが確認されました場合、IPやPasswordを弊社にて変更させていただく場合がありますので、ご了承ください。
• サーバ使用料及び関連する見積書・請求書・領収書はメール添付pdfでお送りします。紙出力→郵送が必要な場合は1件500円（税別）を申し受けます。
• スパムメールフィルターは設定可能です。ただ、初期状態では精度が安定しておらずブラックリスト（問題のあるメールリスト）やホワイトリスト（安全なメールリスト）の随時追加登録により精度があがると考えておりますので、ご協力のほどお願いいたします。
• サイトの表示スピードなど保証するものではありません。サイト表示スピード改善は、年間の作業時間内、もしくは作業時間を超過した場合は、別途お見積にて対応いたします。
•  PhpMyAdminの設置は禁止させてください。dbデータは、弊社にて取得してお渡しや設定をいたします。
• 顧客からのご相談やお問合せ、弊社からのご連絡はメールにてお願いいたします。直接の面談や電話によるお問合せには対応しておりません（別途お見積にて対応します。移動及び拘束時間に応じて見積させていただきます）。お打ち合わせは、事前に日時をお約束の上、Skype・LINEフォン・Chatworkでのやりとりになります。

禁止事項

1. 大量のメールを送信する行為。
2. 不正アクセスの元になりかねないFTPやログイン情報のID及びpasswordの安易な管理。
3. DNSBL（DNS-based Blackhole List）やブラックリスト事業者等に登録されうるサービスの利用方法。
   例1：受信者が迷惑メールと判断する可能性が高いメールの送信
   例2：ウイルス感染したウェブサイトにおいて長期間対策が行われない場合
4. 利用サービス上で利用者が運営するWebサイトやコンテンツ等を、迷惑メール、迷惑投稿、迷惑トラックバック等、一般的に迷惑行為とされる手法を用いて自ら宣伝する、または他者に宣伝を依頼する行為。
5. 以下に例示されるものに類するウェブサイトやコンテンツの運営およびプログラムの運用。
   →不正に第三者の個人情報を取得する目的で公開されるサイトやコンテンツ
   例：フィッシングサイト
   →迷惑メールやコメントスパム等の迷惑行為によって宣伝が行われるサイトやコンテンツ
   →利用者に契約を締結する意思や登録する意思がないにもかかわらず、契約が締結されたり、登録がおこなわれるサイトやコンテンツ
   例1：入力項目等が一切無く、サイト上の何らかのボタンをクリックするだけで、
   　　　IPアドレス等の情報を画面に表示させ、契約を行ったものとするコンテンツ (※1)
   例2：提供されるサービスに登録を行うと、利用者に意思確認が行われずに提携サイト等へ同時に登録が行われるコンテンツ (※2)
   →警視庁ウェブサイトや国民生活センターウェブサイト等にて、被害報告が寄せられる形態のサイトやコンテンツ (※3)
   例1：パチンコ/パチスロの“打ち子”“モニター”“サクラ”の募集/斡旋
   例2：SOHOワーク募集/斡旋
   例3：パチンコ・パチスロ・競馬予想情報提供サービス、ネットワークビジネスのノウハウ販売等所謂「自殺系サイト」と称されるサイトやコンテンツ
   →「さくらのレンタルサーバサービス」上でのCPUリソースを長時間専有する等によって、他のユーザのサービス利用を阻害するプログラム等の運用
6. サーバやネットワークなどの設備に過剰な負荷をかけて、サービス品質の確保およびサービス提供に支障をきたす行為
   DoS攻撃
   オープンプロキシ（公開プロキシ）
   オープンメールリレー
   オープンで再帰可能なDNSサーバの設定
   その他、上記に類する行為
7. 無限連鎖講の開設、勧誘、および連鎖販売取引を行う事を目的とするコンテンツ

※1：規約の表示や有料コンテンツであることの明示に関わらず、これに類する形態のものは全て運営を禁止します。
※2：規約への記述や事前の明示等の有無に関わらず、利用者への意思確認が行われないものには、全てこれに類するものと判断し、運営を禁止します。
※3：基本的にこれらの被害報告が発生するコンテンツに類するものは、運営実態の真偽に関わらず禁止いたします。
警視庁ウェブサイト： http://www.keishicho.metro.tokyo.jp/
国民生活センターウェブサイト： http://www.kokusen.go.jp/

以下のお問い合わせの「新規のご相談」から
　ご相談：DtAサポート　

これらのトラブル経験からサイトの管理運営を最適化したサービス「DtAサポート」を始めました。
　DtAサポート　

（ 現状、メモに近い書きかけのコンテンツです ）

1. インストール時に、dbのprefixを設定する。これは昨今、サーバ会社さんの方で自動で割り振られたりしているので比較的スタンダードになっている。まずは安心。もし、そうでない場合は、意図的にprefixを追記する必要がある。
2. インストールするディレクトリ名は、一時期、/wp/以外にすると良いといわれましたが、結局、サイトができた際に、ソースをみるとわかってしまうので、ディレクトリ名は、それほど注意する必要はない。
3. インストールで一番のポイントは、管理者IDとしてのadminである。つまり、デフォルト（初期状態）だと、管理者IDはadminになってしまう。これが、問題で、ハッカー達は、まずはIDはadminでアタックしてくるので、管理IDはadminにしない事が必須である。
4. あと、admin+御社名やadmin+ドメイン名とかも、ハッカーはトライしてきますので、それ以外にしてください。弊社の例ですと、admindtaとかadmindt-aというのは良くないという意味です。
5. パスワードはある程度の長さで、推察されにくいパスワードにしてください。御社名や電話番号、社長の名前、御社サービス名など、サイトに掲載されるワードはさけてください。意味不明なパスワードが良い、とされていますが、これは間違いではないのですが、ポイントはハッカーにとって意味不明である事が重要です。ハッキングでDictionary Attackという辞書に掲載されている単語を中心にアタックする手法がとられたりします。
6. IDやパスワードで問題になるのは、保存方法で、平文（見たまま判読できるテキスト）での保存は避けた方がよいです。意外なほどに、お使いのマシン（PC）から情報が漏洩しているケースがあります。IDとパスワードが書かれたテキストデータでしたら、開封パスワードをかけて圧縮する、とか、最低限エクセルなどのデータで開封パスワードを設定してください。チーム間で共有する場合、メールで共有する場合は、パスワードを設定したファイルにしてください。メール文中に直接記載するのはオススメしません。そして、そのファイルにパスワードを設定してください。
7. この平文というのが良く理解されないようなので説明しますと、例えば、admindtaというIDを保存する場合、このままでは、保存したマシンがハッキングされれば、即、IDはadmindtaとわかってしまいます。それを、保存時には、管理自社、としておきます。つまり、使用する際に、管理→admin、自社→dtaと変換する訳です。
8. こういったルールを複数組み合わせたり、セキュリティ管理の起点となる日をチームで共有する事で、ある日付に一定の数字追加するなどして、より簡単には判読できない方法をとる事も可能です。
   例えば、セキュリティパスワード変更をチームで7月1日に共有した場合、0701に、一定の数字、たとえば、1234と決めておけば、セキュリティパスワードのメールの日付（0701）に1234を加算する、1935、これをパスワードの末尾や先頭に追加するだけでも、平文での保存よりセキュリティレベルがあがります。
9. 上記２つを合算しますと、パスワードを、管理自社防衛（セキュリティを防衛としました）、として保存していた場合、実際のパスワードは、admindta1935となります。なので、平文で保存しない、といのはこういう事です。ここに大文字や特殊文字（@、(、)、’、_、）を追加して、@dmin’(DtA)_1935、とでもするとセキュリティレベルは向上します。※）これは一例で実際にはもっと難解なパスワードを生成しているケースもあります。
10. 初期設定時に、ユーザーIDがサイトに表示されない設定も重要です。方法は、ユーザー→ニックネームを編集→ブログ上の表示名からニックネームの方を選択。これで大丈夫です。デフォルト（初期状態）では、ユーザーIDがそのままブログ上の表示名として使用されるので、管理画面へのアタックの際に、アカウントIDとして使用されてしまいます。
11. 弊社では、All in One WP Security & Firewall を活用しています。←は英語のページですが検索すれば使い方を解説したサイトは多数あります。
12. このプラグインの、すべての設定を実行する必要はないと考えておりまして、弊社が設定しいてるのは、管理IDをadminにしてしまった場合に、このpluginが有効になります。User Accountsから、admin以外に変更が可能です。もしくは、他に管理アカウントを作成して、ログインし直して（一端ログアウトの後、新しい管理アカウントでログインする）、adminアカウントを削除する。
13. SettingsのWP Version infoにチェックをいれるとソース部分で表示されるwordpressのバージョン表記を削除できます。どんなメリットがあるかといいますと、ハッカーはwordpressのバージョンに対応した方法でアタックをしてきます。なので、まず、こちらのバージョンをクローズにする事で、アタック方法を（少しですが）制限できるのです。
14. User Loginでは、Login Lockdownを設定します。初期状態では、5分間に3回ログインをミスすると60分間アクセスできなくなる、という設定です。ここを120分とかに設定しています。このUser Loginの中のNotify By Emailにメールアドレスを記載して、チェックをいれておくと、不正アクセスがあった場合、メールでお知らせがとどきます。
    ログインしてLogin Lockdownを設定している場合、複数回のミスでログインできなくなった場合、設定した時間おいて（経過して）再トライする、もしくは、違うIPアドレスからアクセスする方法が必要なります。身近な方法ですと、スマホのテザリング、もしくはお使いのルーターを再起動する事で可能です。
    管理画面から、LockOutさせられたIPアドレスを確認・解除する方法もあります。UserLogin→LoginLockDownタブのしたの方、Currently Locked Out IP Adrdress Rangeの中にLocked IP Addressのリンクがありますので、そのリンク先でロックされたIPアドレスを確認・解除する事ができます。これは、チームで作業していて誰かがロックされてしまった場合にロック解除するようなケースで使用します。
15. Firewallもチェックをいれていますし使用しないにしても、コメント機能やpingbackは制御にチェックをいれます。
16. Brute Forceは管理画面への不正アクセスをプロテクトする機能です。wordpressの場合、ログイン画面へのアクセスURLが容易に推察できてしまうので、ログインURLを変更する機能です。
    一部のthemeが原因なのか、この機能が使用できないケースもあります。つまり、設定をしても反映されず、単に、404エラーになったりします。この場合、ログインができなくなりますので、このページの一番下に書かれた方法（22）でリカバリーする必要があります。
17. ログイン画面に、簡単な計算式を追加して自動でBrute Forceアタックしてくるスパムアクセスに対してハードルをあげる事も可能です。Brute Force→Login Captchaです。パスワードを忘れた際の「パスワードをお忘れですか？」にもこのキャプチャを設定できます。
18. 他にも、htaccessやwp-configファイルのパーミッションもこのツールで設定しています。
19. さらに、不正なアタックがどれくらいあるのか、上記All in One WP Security & Firewall の管理画面にアクセスしてログインエラーをしたログをみる事ができます。
    User Login→Failed login Recordsに表示されます。
    この場合、アクセス元のIPの末尾が、*（アスタリスク）になった表記もありますが、これは、このまま、BlackListManagerに登録すれば、より広範囲の近いIPもプロテクトされます。もし、広範囲なIPのプロテクトが気になる場合は、アクセス元IPの*（アスタリスク）を含まないタイプを登録する事で解決できます。
20. ログインユーザーのチェックも重要です。User Login→Account Activity Logsで、ログイン履歴の確認ができます。ログインの日付、IPアドレスをチェックしてください。普段アクセスしないIPからのアクセスは要注意です。
21. 不正アクセスが確認できた場合、そのアクセス元のIPアドレスを、All in One WP Security & FirewallのBlacklist Managerに設定することもお忘れなく。
    ただ、スパムアクセスをしてくるようなところですので、IPアドレスも自在に変更しているとは思いますが、一応、弊社では、スパムアタック元のIPアドレスは、このBlacklist Managerに登録する事にしています。
    この設定をしますと、wordpressディレクトリのhtaccessに追記されますので、ある時、htaccessを確認して、不明な記述がある、とならないようにしてください。
22. さて、ここで上記方法でセッティングをしたとして、ログインができなくなるケースがありました。つまりログインURLを変更したのですが、そのURLにアクセスしても、404エラーとなってしまったケースです。
    この場合、FTPでサーバにアクセスしまして、pluginディレクトリの中のall-in-one-wp-security-and-firewall このディレクトリをいったんダウンロードした上で削除すると、初期状態のログインURLからログインできます。パーミッションを000にする事でも同じです。
23. wp-adminディレクトリにbasic認証をかけると良いという情報がネット上にありますが、これは間違っていまして、設定しますとサイト閲覧時にbasic認証のIDとpasswordが要求されます。
24. 管理画面から、プラグインやシステムファイルの編集をできなくする事も有効です。wp-config.phpの末尾に、
    define('DISALLOW_FILE_EDIT', true);
    define('DISALLOW_FILE_MODS', true );
    といった記述を追加します。問題点としては、アップデートの際には上記の記述をいったん削除した上で実行する必要があります。

これらのトラブル経験からサイトの管理運営を最適化したサービス「DtAサポート」を始めました。
　DtAサポート