当ブログはaws上で稼働している。そのため無料のSSL証明書などを利用できる。今はそれは関係なくてS3にファイルをのせて参照していることを今回は紹介したいと思う。aws、S3コメントするwordpressを無理やりSSL化した話テーマに埋まってるhttpの部分もあるため当ブログではwp-includes/functions.php上記ファイルに無理やりフィルターをかませてhttps化と同時にstatic系ファイルをs3のURLに書き換えている。具体的には下記(文書に埋まっているURLにも効果が及ぶためあえてスペースを入れて引っかからないようにしている。$html;}wp_loadedをフックして動的生成じゃない部分のURLをS3のURLに置換し、埋まっている残りのhttpをhttpsに置換している。賢いやり方もありそうだけど面倒なのでこれはこれでありかもしれない。2.4.18問題点サーバーのOSとバージョンがNotFoundページに表示されているこれの何が問題かというと例えばapacheのバージョンにOSを操作できるレベルのセキュリティ脆弱性が発見された際にその脆弱性を使ってサーバーを攻撃されるかもしれない。それを防ぐために上記の環境のバージョンでは以下の設定を行った。Offするとこうなる。これでOS、apacheバージョンともにわからなくなるので多少セキュリティ的にマシになったことだろう。下記ページを参考にしてswapを作った。https://qiita.com/youcune/items/ae8ba3a53cd91c490ad6実行時のansibleのバージョンは下記。ansible、aws、ec2、linux1件のコメントWordPressをインストールした後に真っ先に行ったこと内容に関しては掲題のとおり。WordPressをインストールして真っ先にinstall系のファイルを消した。理由はこれを悪用して不正なアクセスによりサイトを改ざんされるのを防ぐため。wp-admin/install-helper.phpまた、/wp-adminへのアクセス制限もかけた。awsで構築しelbを挟んでる関係で通常の書き方ではリモートIPを取ることが出来ない。env=allowed_access</Location>ただしこの方法、一つ問題があって悪意ある攻撃者がX-Forwarded-Forに我が家のIPを入れて送ってくると管理画面が表示できる。そもそも我が家のIPを知る方法がないだろうから問題ないと思われる。企業が公開しているサービスなんかだと企業のIPで試行して攻撃できると思うので過信は禁物。rails6で開発を始めるrails5.2とDockerとwebpackerとbootstrap4【設定編】docker-composeのサンプルrails5.2とDockerとwebpackerとbootstrap4【インストール編】そうだ。