この診断が見ているもの、見ていないもの

やっていること

まずトップページを、ふつうのブラウザと同じように読みます。そこからWordPressかどうか、本体とプラグインの版、テーマの名前を拾います。次に、ログイン画面、XML-RPC、ユーザー一覧のAPI、readme.html、debug.log、サイトマップに1回ずつアクセスして、開いているかどうかだけ見ます。最後に、検索エンジンのふりをしてもう一度トップページを読み、ふつうに読んだときと中身が違わないかを比べます。

本体とプラグインが最新かどうかは、wordpress.orgの公開されている情報と照らし合わせます。全部で10回から12回のアクセス、30秒くらいです。同じサイトへの再診断は1時間に5回までにしています。

やっていないこと

ログインを試すこと、フォームを送ること、欠陥を突く通信、ファイルの書き込み。このあたりは一切しません。海外の公開スキャナ、たとえばSucuri SiteCheckがやっている範囲と同じところで止めています。

見えないもの

管理画面の中です。入っているプラグインの全部は分かりません。外から見えるのは、ページに何かを読み込ませているものだけです。自分たちのサイトで試したら、4つ入っているうち見えたのは1つでした。管理者が何人いるか、二段階認証をしているか、自動更新の設定、バックアップの有無も分かりません。

そこを見たい方のために「中まで点検」を用意しました。逆に言うと、緑が出ても「安全です」とは言えません。「外から見える範囲では、大きな穴はなさそう」というところまでです。