IIS 上で動作している WordPress の HTTP ヘッダーを編集してセキュリティ対策をする

ページ更新日 : 2022年10月30日日曜日

ページ作成日 : 2021年11月19日金曜日

検証環境

WordPress

PHP

IIS

Windows Server

この記事では IIS 上で WordPress がすでに動いているものとしています。

以下のサイトにアクセスし、自身の WordPress のサイトの URL を入力して Scan ボタンを押してみてください。

結果のランクは「A+, A, B, C, D, E, F」があり、A+ に近いほどセキュリティが高いことを意味します。逆に F に近いほどセキュリティが弱いことを意味します。

IIS 上にインストールした WordPress のサイトに対して実行すると分かりますが、標準では何も対策されていないので F で表示されてしまいます。

ネットで調べると「.htaccess」ファイルを使用した対策方法が書かれていることが多いですが、「.htaccess」は基本的に Apache の Web サーバーで使用するものなので IIS では使用できません。

IIS の場合、Apache の「.htaccess」に該当するのが「web.config」ファイルになるため、こちらに設定を記述することになります。

web.config に直接設定を記述してもいいのですが、今回は「インターネットインフォメーションサービス (IIS) マネージャー」を使用して設定を追加し、設定した後で web.config を確認してみたいと思います。

スタートメニューから「インターネットインフォメーションサービス (IIS) マネージャー」を選択します。

左のツリーから「WordPress」が動いているサイトを選択し、中央の一覧から「HTTP 応答ヘッダー」をダブルクリックで開きます。

ここでは名前と値を入力して追加し応答ヘッダーを設定していきます。今回追加するものは以下の通りです。主要なものを抜粋していますが、必要に応じて項目を増やしたり値を変更したりしてください。

名前	値
X-Content-Type-Options	nosniff
X-Frame-Options	SAMEORIGIN
X-XSS-Protection	1; mode=block
Referrer-Policy	no-referrer-when-downgrade
Content-Security-Policy	upgrade-insecure-requests
Strict-Transport-Security	max-age=31536000
Permissions-Policy	fullscreen=(self), accelerometer=(), camera=(), geolocation=(), gyroscope=(), magnetometer=(), microphone=(), midi=(), payment=()