タグ: キク

1.QMACサイトの画面の改善

1-1. 静的アーカイブ（2007年以前のHP）をテーマの枠中に

1992〜2007年度の旧サイトHTML 39本が、ヘッダー・サイドバー・フッターの外に置かれていた
原本は書き換えず、配信のたびにPHPで変換する方式とした・・旧サイトの記録としての価値を損なわずに、見た目だけを揃る

/archive/2007/ → 00Index/Activities/2007(H19).htm を読む
→ の中身だけ抽出
→ 挿入ナビ・SSIコメント・重複フッターを除去
→ 相対パスを絶対URLに変換
→ .qmac-legacy で包んでテーマのテンプレートに流し込む

1-2. その他の改善

• 連絡先の移動・・ フッターは画面下端で見えないため、サイドバー最下部へ
• フッター 「© 2026 中国地区品質経営協会」のみ中央寄せ
• マニュアル
  管理者・編集者以外にはサイドバーに表示しない
• ログインボタン
  ヘッダー右下。未ログイン時「ログイン」、ログイン時「管理画面」

2.QMACサイトのセキュリティ対策

2-1. 現状調査

WordPressサイトの多くは「プラグイン20本・未更新・権限管理なし」という状態にあることが多い

主な発見

2-2. 実施した対策

• ① wp-config.php.orig の削除・・検証環境の公開フォルダに、DBのパスワードが平文で書かれたファイルが置かれていた・・.orig はPHPとして処理されないため、Basic認証が外れた瞬間に中身がそのまま読める
• ② .bak 系61本を公開フォルダ外へ・・.bak → .new → php -l → mv という作業手順を守った結果、2日間で61本が蓄積していた・・手順そのものは正しいが、公開領域に残す理由がない
• ③ DISALLOW_FILE_EDIT・・管理画面からのテーマ・プラグイン編集を禁止・・管理者が乗っ取られても、PHPを書き込まれない・・ISALLOW_FILE_MODS は入れていない（自動更新まで止まるため）

2-3.自動更新の有効化

公式テーマとXserver製プラグインの自動更新で壊れる確率は低いので、自動更新にする
cloudsecure-wp-security → 自動更新 ON
twentytwentyfive（親） → 自動更新 ON
qmac / qmac-core（自作） → 対象外

2.4.HTTPS常時化とセキュリティヘッダ

http://qmac.jp/ がそのまま200で表示されていた。暗号化されない経路が生きている状態
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Header always set X-Content-Type-Options “nosniff”
Header always set X-Frame-Options “SAMEORIGIN”
Header always set Referrer-Policy “strict-origin-when-cross-origin”

Strict-Transport-Security と Content-Security-Policy は入れていない。設定ミスでサイトが開かなくなり、HSTSはブラウザが記憶するため取り消しが効きにくい

2-4.XML-RPC の無効化

system.multicall は1リクエストに数百通りのパスワードを詰められる。ログイン試行制限を実質的に回避される・・無効化の前に POST system.listMethods が 78メソッドを返すことを実測し、変更後に403になることを確認

また、朝キクが脱走していて、犬を散歩させている近くの叔母さんが、連れて来てもらった・・・急に、脱走し始めたのでどこに原因があるかを探すと、カレーの厨房に2カ所に抜道を発見、さっそく合板で穴を塞ぎ、ついでに長い間て片付けていなかったカレーの厨房と中庭、バルコニーを全員で大掃除
かなりの不要材を整理する
甲斐犬のキクの脱走はすっかり近所では有名になり、マークされる存在となった
2～3日前から、少し喉が痛い
昼からは何となく寒くなり、夕方まで寝て過ごす

QMACサイト本番用のDB作成

QMACサイトの新しいサーバにはテスト用の.worldのDBがあり、新しく本番用のDBをMysqlで作成して、管理者パスワードを設定し、.worldの内容を本番用にコピーして、BASIC認証は削除する

• cp -a ファイルを複製 → qmac_jp_build/
• wp db export DBをテキストに書き出し → qmac_cutover.sql
• wp db import 別のDBに流し込み → xs815766_wp2
• dry-run 640件と予告（DBは無傷）
• 本実行 640件を書き換え
• 残存確認 0件 → 漏れなし

wp-config.php を新DB用に書換

変更箇所

• DB_NAME → xs815766_wp2
• DB_USER / DB_PASSWORD → 管理者パスワード
• コピーした認証キー8行（AUTH_KEY 等のSALT）を差し替え — https://api.wordpress.org/secret-key/1.1/salt/ で生成して差し替えする
• 認証キーについて、wp-config.php の中に、WordPressが自動生成した8行の鍵・・不正アクセスが疑われるとき、管理者が交代したときは、wp config shuffle-salts で作り直す