昨晩は遅かったので、少し遅くホテルをチェックアウト、ソニックの指定席は混雑しているが、自由席は空いていた・・・・小倉からの新幹線も自由席、小倉では空いていたが、途中で満席になる
家に帰ると、すぐ病院に行きABI検査（足関節上腕血圧比検査・・足の血管の詰まり具合や動脈硬化の程度を調べる）を受ける
夕方には保健所で、カレー店舗の相談をする
コメントはありません
大分から広島に
佐賀4日目 佐賀から大分に
佐賀から博多にリレーカモメ
佐賀から大分まで3時間ちょっと
少しぶらぶらして夕食を
佐賀から大分に移動して、今夜は夜間工事の立ち合いをする
ホテルには、午前2時に再びかえって寝る
佐賀の三日目
午前中は現場に行く
昼からは引き続き
夕食はうどんを食べて、アルコールを購入してホテルに
ネットではPHPの脆弱性が世界的に問題となっている
多くのウエッブサイトはPHPで構築しているので、問題は大い・・・このブログサイトも、建設アシストもPHPで構築
Claudeに対策を依頼して、サーバーのPHPバージョンを確認・・・バージョンのパッチは当てあった
佐賀での二日目
佐賀での二日目の午前中は唐津の現場に
先月も唐津に来たので、なんとなく今年は唐津に縁がある
唐津から午後は佐賀に帰り、夕方まで仕事
さて、今日の夕食は駅の近くのスーパーで食材を購入して、ホテルで頂く
用事もないので早く寝ることにする
佐賀に出張
再び、予約をし直して乗車（1万円は消えた）
広島から新幹線さくらで新鳥栖に、ローカルに乗換て30分、列車は混雑していて座れなかった
今日から4日間は佐賀で仕事・・・ここもすでに4年目、早いものだ
昼から夕方まで仕事して、ホテルは駅の北側、夕食はカレー屋に行く
帰りにスーパーで酒を購入してホテルで一杯
五日市の埋立に散歩
昼は三人でインドカレーのボンベイにナンを食べに・・・いろいろな種類のナンがあるが、プレーンナンが一番おいしい
少し、ナン造りを研究してみるか
ボンベイではYamaoka夫妻と偶然日であった
元宇品の散歩
今日は土曜日で天気が良い
すっかり良い季節となった
元宇品の海岸は、一部が崩れたため全面通行止めとなっている・・・ほとんど歩いている人はいない
しかし、夏に遊んだ人が残したゴミや海岸に流れついている発泡スチロール（漁業などの浮き）の屑があり、あまりきれいとは言えない
八木地区の豪雨災害対策の砂防堤
市内で仕事
JSAでセミナー
今日は、JSA（日本規格協会）の企業向けの内部監査員スキルアップセミナー1日コース、基本的なテキストはJSAなのだが、内容と事例が良くない・・・・あまり大きく変えることはできないが、訂正と資料を追加する
また、最近のセミナーはリモートでの開催が多いが、演習問題を含んだセミナーはやりにくい・・・今回はマイクロソフトのTeamsのリモートだったが、画面の共有が分かりにくい、また映像が分からないのでデスカッションとコミュニケーションにかなり支障が出る
予定通り完了してJSAのセミナーは、来月の1件となった
病院に定期検査
今回は少し数値が連続して落ちている
午後からQMACのウエッブサイトのWordpress化が完了したので、横川にあるQMAC事務所に納品に行く
基本的な取り扱いを説明して、SDKさんの会社に寄ってみる
しばらく、SDKさんと話をして暗くなったころ帰宅・・・雨が降り出した
甲斐犬のキクと散歩
北大河を歩く
甲斐犬のキクとゆっくりと朝の散歩、アップダウンもあるので歩いた気がする
は、かなりスモーキーでフルテーティな味わいで癖はあるが、旨い・・スコットランドのアイラ島とスペイサイド地方のモルトウイスキーをブレンドしたスコッチウイスキー
朝の散歩
JSAセミナー二日目 Audit Finds System
Audit Finds System 審査計画の統合
指摘作成（AUD-TOP）から入ると、規格ごとに審査計画が裏で作られる（被審査組織 × 対象ISO × 審査種別で一意）、しかし複数のISOシステムの統合（複合）審査がある
同じ被審査組織の同じ審査（例：QMS と EMS の統合審査）が別々の計画になったとき、後から1つの計画（統合審査計画書）にまとめる
確定した規則
| 項目 | 規則 |
| 入口 | 統合先の AUD-PLAN（表示）に［他の計画を統合］ 管理者（role 1/5）だけに出す |
| 統合できる計画 | 同じ被審査組織 どちらも Close 前 規格が重ならない（同じ規格を持つ計画は種別が違っても不可） 予約組織「その他」は不可 |
| 移す側の計画 | 削除し、統合の記録を残す（取り消しは無い） |
| 指摘番号 | 移す側の指摘は、統合先の続き番号を振り直す（移す側の番号順を保つ） |
| 審査部署 | 同名の部署は1つにまとめる（統合先の部署に指摘を移す） |
| チェックシート | 統合先を残す 移す側に記入があれば確認画面で示す（記入内容は統合の記録に写しを残す） |
| 審査チーム | 合わせる 移す側のリーダーはメンバーにする |
| 期間 | 両方を含むよう広げる |
| 権限 | 管理者だけ |
JSAでセミナー二日間 Audit Finds System
Audit Finds System再構築
変更内容
| 対象 | 内容 |
| 指摘一覧（AUD-FLIST）の［開く］ | 指摘の詳細（AUD-FIND-M1）を最初から開いた状態で表示する 指摘リスト（AUD-FIND の表・審査日・件数）は出さない |
| AI 支援 | 直接開いた表示でも使える。AI 支援を閉じると（反映しなくても）指摘の詳細に戻る（ia-support.js が閉じたことを知らせるイベントを出すようにした） |
| ［是正処置］（新設） | 指摘一覧の不適合の行に追加。是正処置報告書（AUD-CA）の「指摘一覧へ」で、絞り込みのまま一覧へ戻る（保存後も戻り先を引き継ぐ） |
| 戻り先の検証（App\Support\FindingListReturn・新規） | 戻り先 URL は利用者が書き換えられるため、指摘一覧のパスだけを受け付け、相対 URL に組み直す（よそのサイト・別の画面・javascript: は無視して初期表示の指摘一覧へ） |
| 他の部署の指摘 ID | 無視して通常の AUD-FIND を表示する |
| タブ | 直接開いた表示では［指摘一覧］タブを選んだ状態 |
| 変えていないもの | 指摘の保存処理（部署単位の一括保存と楽観ロック）／AUD-PLAN・AUD-SUM から AUD-FIND に入る使い方／画面コード（M1 は AUD-FIND のモーダルのまま） |
| ヘルプ・文書 | 指摘一覧のヘルプ（【開く】【是正処置】）／CLAUDE.md §1・§6（判断25・統合の確定事項）／audit-ui スキル |
検証
| 検証 | 結果 |
| php artisan test | 562 passed（2737 assertions）C7FindingListTest に2本追加 （直接開く・戻り先の検証・他の部署の ID・是正処置の戻り先／Close 済みは見るだけ） |
| npm run build | 実行済み （ia-support.js を変えたため成果物をコミット） |
| ブラウザ （一時 SQLite・管理者） | 一覧（製造部で絞り込み）→［開く］→ 詳細が開き指摘リストは出ない → 内容を直して「決定・保存」→ 絞り込みのまま一覧へ戻り修正が反映 「キャンセル」・Esc でも戻る AI 支援を開いて閉じると詳細に戻る （AI 支援中の Esc では移動しない） ［是正処置］→「指摘一覧へ」で絞り込みのまま戻る Close 済みは保存ボタンなし。画面のエラー 0 件 |
| マイグレーション | なし |
| MariaDB での audit:smoke-check | 未実施（PC の Claude Code が §10 の手順で実施） 今回は DB の処理を変えていない |
元宇品の海岸
QMACサイトバックアップ
- server が止まればサイトも止まる。サイトが止まれば WordPress の管理画面も開かないので、UpdraftPlus は使えない。 ②の復元ボタンは「サイトは動いているが中身を戻したい」ときの道具であって、サーバー障害の備えではない
- サーバー障害に備えているのは、③に置いてある「ファイル」だけである。プラグインではない
- そのファイルを使うには、まず戻す先（サーバーと WordPress）を用意することになる
バックアップと復元
バックアップ構成
QMACサイトのバックアップは3つの仕組みで構成している、各々は独立してバックアップが実施されている
| 項目 | 設定 |
| Xserver 自動バックアップ | サーバー会社の標準機能 サーバー上のファイル一式 ＋ MySQLを毎日・直近14日分 Xseverサーバーパネルから復元可能 |
| UpdraftPlus | UpdraftPlus 1.26.8（無料版）WordPress のプラグイン ファイル・DB とも週1回・月曜 03:00 JST（初回 2026-10-05） ファイル4世代・DB8世代 UpdraftPlus から復元可能 |
| Google Drive | Google Driveに協会アカウント「office QMAC」で新設 フォルダ UpdraftPlusにUpdraftPlus のバックアップデータを保持 GoogleDriveから手動でダウンロードして復元可能 |
| バックアップ先 | ① Xserver | ② UpdraftPlus＋③ Google Drive |
| バックアップ作業 | Xserver（自動） | WordPress（自動） |
| 頻度 | 毎日 | 週1回（月曜 03:00 JST） |
| さかのぼれる範囲 | 直近14日（※要確認） | 約4週間（4世代）／DB は8世代 |
| バックアップデータ | Xserver の中 | Google Drive（サーバーの外） |
| データの復元 | ① Xserver | ② UpdraftPlus | ③ Google Drive |
| バックアップ場所 | Xserver の中 | サーバー上と Google Drive | Google Drive（サーバーの外） |
| 復元する手段 | Xseverサーバーパネル | プラグインの復元ボタン | 人の手作業で復元（SSH・unzip・wp db import） |
| 復元する環境 | Xserver にログイン可能 （サイトは落ちていてよい） | WordPress が起動して管理画面に入れること | 戻す先の WordPress 環境があること |
QMACサイト改善
5.Google Search Console
- ドメインプロパティ qmacサイト を office QMAC 名義で登録し、確認は Xserver の DNS に TXT を追加（既存のSPF の行は変更していない）
- TXT レコードは削除しないこと（削除すると所有権の確認が外れる）、サイトマップ（wp-sitemap.xml）を2026-10-06 に送信
QMACサイトの改善
1.サイトのセキュリティ
- 発見した問題：管理者のログイン名が REST API とサイトマップで公開されていた（id=1）
- 対処：管理者アカウントを新規作成して旧アカウントを削除・・qmac-core に security-hardening.php を新設し、バージョン表示・XML-RPC・RSD・未ログイン時の REST ユーザー一覧・投稿者サイトマップ・投稿者ページを閉じた（テーマを替えても消えないようプラグイン側に配置）
- 既存の防御：cloudsecure-wp-security のログイン試行制限（30秒5回で600秒ロック）・ユーザー名列挙防止・XML-RPC 無効化が有効、管理者ログイン通知を有効化
- 復旧手順：締め出し時の手順を「10分待つ → 再設定メール → SSH でパスワード変更 → 設定の書き換え→ プラグイン停止（設定の控えから復元）」の順に整理し、world で検証
2.資料室の作成（運営委員向け・非公開資料）
- 既存の作り（公開フォルダ外への保存、PHP 経由の配信、30日で自動削除）が要件を満たしていることを確認
- 追加：操作記録（誰が・いつ・どのファイルを提出／取得／削除したか。表示名のみ記録、1年保存）、自動削除の最終実行の表示と48時間超の警告、利用案内（ダウンロード記録とサーバのバックアップに最大14日残）
3.SEO対策
- 基本設定：Title(ページ題名：ページの主題が伝わり、クリックされやすくなる）、Description（説明文:開く前に内容が分かる）、h1（見出し：何のページかを検索エンジンに正しく伝える）、Canonical（正式な住所：同じページの評価が分散しない）、言語・スマホ表示：スマホ基準の評価、年度ページ・静的アーカイブに h1、サイドパネルを nav 化、一覧系に canonical、全ページに OGP と twitter:card、トップに rganization・WebSite、予定の行事に Event（会場住所、会場とオンラインの併用、画像、説明文）
- 第2弾：旧サイト URL の転送を35本から大幅に拡充し、旧ディレクトリは 410 に、旧 URL が無関係なページへ飛ばされていた WordPress の推測転送を防止、誤字スラッグ4件の修正と、新規行事への英数字スラッグ（開催日＋ID）の自動付与
- 確認結果：リッチリザルトテストで、トップ（組織・地域のお店やサービス）と行事（イベント）がいずれも有効、エラー0件、残る任意の指摘は offers・performer のみ（事務局の入力負担を増やさないため対応しない）
- OGP 画像：協会ロゴと名称入りの 1200×630 画像を作成・配置。共有プレビューで表示を確認
4.訪問者カウンター設置
- 目的：Xserver のアクセス解析はBOTを含み実態が不明、実際の訪問をカウント
- 仕組み：ページ表示後に JavaScript が通知を送り、サーバ側で検証して日付×ページの件数だけを保存、ボット・ログイン中の利用者・資料室は数えない
- プライバシー：IP アドレスと Cookie は保存しない。重複判定用の値は当日だけ使い、翌朝までに破棄（受信時とサーバの cron の両方で実行）
- 事務局のダッシュボード「アクセス状況」に今月の訪問数・閲覧数、先月比、閲覧の多いページ上位10件。計測開始は 2026-10-05（初日は TAM の確認の閲覧を含む）
京橋川の土手を散歩
土産のフルーツ
朝の甲斐犬のキクの散歩は、黄金山のふもとをまわって帰ると、命日の法要で徳栄寺さんが来ていた・・時間を勘違い・・基二がタイからのお土産で持ってきたパッションフルーツとランプータンを食べる・・南国フルーツの味、美味しいのでついつい食べ過ぎる
基二が来広
タイで結婚した3番目の弟が嫁さんを連れて来広した
久しぶりに兄弟が集まり夕食をしてタイでの生活などを聞く、また4人が元気で会うことができる日を楽しみに待ちたい
明日は基二は、宮島を観光して奈良に帰るよう
昼前に博多南に出張
あっという間に季節は過ぎて、早くも10月、すっかり涼しくなり秋晴れ
キクの散歩
今日から10日間、東京から弟の清二が広島に滞在
キクと散歩
キクと散歩 サイトのセキュリティとバックアップ
1.QMACサイトの画面の改善
1-1. 静的アーカイブ（2007年以前のHP）をテーマの枠中に
1992〜2007年度の旧サイトHTML 39本が、ヘッダー・サイドバー・フッターの外に置かれていた
原本は書き換えず、配信のたびにPHPで変換する方式とした・・旧サイトの記録としての価値を損なわずに、見た目だけを揃る
/archive/2007/ → 00Index/Activities/2007(H19).htm を読む
→ の中身だけ抽出
→ 挿入ナビ・SSIコメント・重複フッターを除去
→ 相対パスを絶対URLに変換
→ .qmac-legacy で包んでテーマのテンプレートに流し込む
1-2. その他の改善
- 連絡先の移動・・ フッターは画面下端で見えないため、サイドバー最下部へ
- フッター 「© 2026 中国地区品質経営協会」のみ中央寄せ
- マニュアル
管理者・編集者以外にはサイドバーに表示しない - ログインボタン
ヘッダー右下。未ログイン時「ログイン」、ログイン時「管理画面」
2.QMACサイトのセキュリティ対策
2-1. 現状調査
| 観点 | 評価 |
| 攻撃されやすさ | 良好 — プラグイン1本、パーミッション適正、改ざんなし |
| 侵入時の被害 | やや弱い — 管理者が管理画面からPHPを書き換えられた |
| 気づけるか | 弱い — 改ざん検知なし |
| 戻せるか | 最も弱い — バックアップが全て同一サーバー内 |
| 続けられるか | 最も弱い — プラグイン・テーマの自動更新がオフ |
WordPressサイトの多くは「プラグイン20本・未更新・権限管理なし」という状態にあることが多い
主な発見
| 発見 | 深刻度 |
| プラグイン・テーマの自動更新がオフ | 高 |
| バックアップが同一サーバー内のみ | 高 |
| XML-RPC が有効（system.multicall が使える） | 中 |
| WWWアドレスが暗号化されず表示 | 中 |
| セキュリティヘッダがほぼ未設定 | 中 |
| 検証環境に wp-config.php.orig（DBパスワードが平文） | 中 |
| 公開フォルダに.bak系が25本 | 低 |
| DISALLOW_FILE_EDIT が未設定 | 中 |
2-2. 実施した対策
- ① wp-config.php.orig の削除・・検証環境の公開フォルダに、DBのパスワードが平文で書かれたファイルが置かれていた・・.orig はPHPとして処理されないため、Basic認証が外れた瞬間に中身がそのまま読める
- ② .bak 系61本を公開フォルダ外へ・・.bak → .new → php -l → mv という作業手順を守った結果、2日間で61本が蓄積していた・・手順そのものは正しいが、公開領域に残す理由がない
- ③ DISALLOW_FILE_EDIT・・管理画面からのテーマ・プラグイン編集を禁止・・管理者が乗っ取られても、PHPを書き込まれない・・ISALLOW_FILE_MODS は入れていない（自動更新まで止まるため）
2-3.自動更新の有効化
公式テーマとXserver製プラグインの自動更新で壊れる確率は低いので、自動更新にする
cloudsecure-wp-security → 自動更新 ON
twentytwentyfive（親） → 自動更新 ON
qmac / qmac-core（自作） → 対象外
2.4.HTTPS常時化とセキュリティヘッダ
http://qmac.jp/ がそのまま200で表示されていた。暗号化されない経路が生きている状態
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
Header always set X-Content-Type-Options “nosniff”
Header always set X-Frame-Options “SAMEORIGIN”
Header always set Referrer-Policy “strict-origin-when-cross-origin”
Strict-Transport-Security と Content-Security-Policy は入れていない。設定ミスでサイトが開かなくなり、HSTSはブラウザが記憶するため取り消しが効きにくい
2-4.XML-RPC の無効化
system.multicall は1リクエストに数百通りのパスワードを詰められる。ログイン試行制限を実質的に回避される・・無効化の前に POST system.listMethods が 78メソッドを返すことを実測し、変更後に403になることを確認
キクと散歩 QMACサイトの本格的稼働
QMACサイトの本格的稼働
1.本番切替（.jp）
テスト用に.worldを構築していたので、その内容を本番の.jpに移行
- ドメイン付け替え 旧アカウント（awl-web）から削除 → 協会の新サーバーのアカウント（xsXXXX66）へ追加
- サイト配置 事前構築済みの qmac_jp_build を rsync。DB は xsXX5766_wp2
- URL置換 qmac.world → qmac.jp 640件（事前算出値と完全一致）
- DNS・SSL Aレコード XX.XXX.221.147、無料独自SSL発行
- 旧サイト保全 2.5GB・11,373件・・手元とサーバーに二重保管
2.行事の新規・修正の管理画面改善
行事を作成・修正する編集画面は、Wordpressの標準から独自のソフトで構築したため、編集機能の右サイドバーメニューの縦側が大幅に長くなって、かなり下までスクロールしないと、編集作業ができないばかりか、良く機能が分からない状態だったので、UIを含めて大幅な改善をする
- 管理バーから「サイトを編集」を削除（開いても編集できず表示が崩れるため・・Wordpress標準だが使えない）
- 抜粋の改行バグを修正（改行だけ残ると一覧が空白になる）・・保存時に post_excerpt を trim（不要な空白等を自動削除）
- 行事リストで内容が分からないので、行事一覧にタイトル＋副題の連結する、開催日列の書式・ソート
- 使用しないアイキャッチを非表示（行事・固定ページ・投稿）
- 写真の代替探索を削除（削除しても消えない問題を解消）
- トップの写真帯を行事ごとにグループ化
- 年の桁数を4桁に制限、全画面モード既定OFF、スラッグ欄を編集者から非表示
3.右サイドバーメニューの縦方向圧縮
幅を420pxに広げ、2列化。写真と資料のパネル分離、▲▼での並べ替え、複数枚の一括選択、重複除外を実装
- 2,849px → 約1,600px（−44%）
- 行事の詳細 589px →313px
- 写真・資料
1,685px→
917px（写真／資料に分離）
4.マニュアル更新
パネル名・ボタン名の変更に伴う15か所、さらに古くなった記述6件を修正・・抜粋の説明を新規追加
小規模事業者持続化補助金の申請
来年の春にはカレー店舗を出店するために、第19回の小規模事業者持続化補助金の申請することにする
申請は所定書式の経営計画書を作成し、商工会議所の審査承諾を得て4月20日に所定のGビズID（1つのID・パスワードで複数の行政サービスにログインできる、法人・個人事業主向けの共通認証システム・・デジタル庁が運営）を経由してネットで提出・・・・忘れた頃、無事に7月末に採択の連絡があった・・・これから詳細な見積提出が必要となる
厨房の配置計画を見直したので、厨房器具の種類が変更となり、再見積をするが、市内の業者はまともに見積が出てこない・・・随分と時間を消費してしまった・・・仕方がないので、ネットで3業者選択して見積依頼をして、その内、1社に絞り込んで詳細に詰める・・・何回か見積を再修正してもらい、9月初めに見積がまとまり、再申請をする
最申請の結果は、「見積に不備があり」と差戻となる・・・厨房設備工事の詳細見積を依頼して、ようやく、再度申請する・・どうも申請の見積内訳を詳細に分類しすぎたので、見積書がめんどくさくなってしまった・・今回で無事OKとなると、ようやく厨房工事に着手できる
のどが痛くて体がだるい
連休中から喉が痛くなったのが、中々治らない
熱は無いのだが、体がだるくてやる気が起こらない
キクの散歩の後、雑用を終わらせて昼頃から少し寝る
15時前に、眼医者に行って定期診断、その後字義咽喉科に行き、診断を受けて薬をもらう
シルバーウイークが終わる
