メンテナンスが行われなくなってしまえばその使用には高いリスクが伴います。メンテナンスはいつか終わるため、そのこと自体は問題ではありません。年先なのかということです。準備フェーズセキュリティ方針を決める全体的なセキュリティ対策の方向性を決めることです。考え方は、事業やプロジェクトの運営におけるリスクマネジメントと同じです。どのようなリスクが想定されるのかを洗い出しそれぞれ評価します。その上で何を行い何を行わないのか、どのように行うのかを決めます。人間がいくら健康に気を付けても絶対に風邪をひかないことが不可能なのと同じく、ウェブサイトのセキュリティに完璧はありえません。コストをかければそれだけやれることは増えますが、その分だけセキュリティレベルが上がるかというと必ずしもそうではありません。法則を念頭にリソースを注ぐべきポイントを見極め、費用対効果が高くなる形で対策を行うことが重要です。構築フェーズ信頼できるプラグインだけを使う本当に信頼できるプラグインだけを使うことです。場合、有償・無償のサードパーティプラグインが利用できることが一般的です。無償または安価で高機能なプラグインが利用できるのは魅力的ですが、それらプラグインがすべて安全かというとそういうわけではありません。中には悪意のある開発者にハッキングされてしまったプラグインや最初から悪意を持って作られたプラグインなんかも存在します。プラグインだからといって油断してはいけません。オープンソースのプラグインであれば実際のコードを見て確かめるのが理想ですが、技術力や時間的な制約のためにそれは必ずしも現実的ではないでしょう。多くの場合は代わりに、プラグインのメンテナンス状況や利用統計、口コミ、開発者のプロフィール等を見て信頼できるプラグインかどうかを判断します。上で適切に設定することです。企画・要件定義の一環として「そのサイトにはどんなユーザーがいて、各タイプのユーザーはどんなことができるのか」を定義しなくてはいけません。続いて、それを実装フェーズでヌケモレなく適切に実装します。ここで、「ロール」というのは「権限」という切り口で分けたときのユーザーのグループのことで、「権限」はページ閲覧やデータ操作の可否のことです。いうロールと、「ファイルをダウンロードできる」「トップページを編集できる」という権限があるイメージです。このロールと権限の設定を適切に行わないと、たとえ悪意のあるユーザーからの攻撃を受けなくても、思わぬ機密情報の漏洩やデータのロスが起こりえます。企画と構築の担当が分かれている場合は特に、伝達のモレやミスがないように、ドキュメントに落とし込んで伝えることが重要です。スパム対策を行うコメントフォームやコンタクトフォームのようにサイトの訪問者がデータを投稿できる機能を設ける場合は、スパム対策を行うことです。技術を用いた高精度な検知能力を持つスパム対策ツールが無償または安価で提供されているので、導入のハードルは非常に低くなっています。場合はそれこそ、ただプラグインをインストールして利用キーを取得するだけで利用できるようなプラグインもあったりするので、プログラミングの知識が無くてもかんたんに導入できます。ログインフォームを不特定多数の人がアクセスできる状態で公開する場合は、認証処理の前にスパム判定処理を追加することで悪意のあるボットによるログインチャレンジの回数を大幅に減らすことができるので、ログインページのセキュリティ強化にも有効です。ファイルの公開設定を正しく行うウェブサーバー上で公開するファイルのアクセス権限を正しく設定することです。構成するファイルにはウェブ上で公開してもよいファイルとそうでないファイルがあります。公開してもよいファイルとそうでないファイルとを明確に分類します。その上で、公開してはいけないファイルにはアクセスができないように適切にウェブサーバーの設定を行います。ファイル一式をまるごとウェブサーバーの公開ディレクトリ以下に設置する形で利用するようになっています。これは初学者にはかんたんでわかりやすいよい特徴ですが、設定を少しでも間違うと公開すべきでない情報を全世界に公開してしまう危険な方法でもあります。クライアントやファイラの設定によっては画面上に表示されません。中の設定の記述が間違っている場合でも、わかりやすくエラーで教えてくれるとはかぎらないので、作業者がきちんと確認する必要があります。いうルールを使う形に設定することです。これでできることはかんたんに言えば「通信の安全化」です。化を行えばウェブサーバー・利用者間の通信経路上での盗聴が実質できなくなります。化を行わないと、経路上でデータが丸見えの状態で通信が行われます。その場合、いくら複雑なパスワードを設定したとしても外から丸見えな形でやりとりされてしまうため、悪意のある人たちにパスワードが知られるのは時間の問題です。化する考え方が主流です。等の通信が暗号化された方法を使うことです。等通信が暗号化されない方法を使ってはいけません。本来使うべきではありません。場合、データベースのパスワードや認証キーを設定ファイルで管理することが一般的です。送るということは、クレジットカードの暗証番号をはがきに書いてそのままポストに投函するようなものです。そのようなはがきを送っても悪用されず無事に済む可能性もありますが、悪用される可能性はいくらでもあるので、悪用されても文句は言えません。適切に利用することです。逆に言うと、それが正しいという強い確信がないかぎり公式に推奨された方法以外は使ってはいけません。