WordPress – ページ 3 – シングスブログ

WordPress保守運用チェックリスト

公開日: 2018年10月16日 16:02 更新日: 2020年10月5日 22:51 投稿者: thingsym

WordPressでウェブサイトやブログを立ち上げるのは、手軽でツールとして便利な一方。
WordPressサイトを運用しつづけるには、メンテナンスをする手間やセキュリティ上のリスクを自分で対応する必要があります。

保守管理をするレベルで対応できる範囲はそれぞれですが。
個人でWordPressサイトを運営する方から、ビジネスでWordPressを使ってウェブサイトを開設している方、ウェブ制作会社などクライアントのウェブサイトをサポートしている方に参考になるようできるだけ幅広い視点から「WordPress保守運用チェックリスト」を作成してみました。

WordPress保守運用の底上げに繋がれば幸いです。

WordPress保守運用チェックリスト

2020.10.05更新

WordPress保守・保全

WordPress本体・テーマ・プラグインがアップデートできる環境になっている
自動アップデートが機能している環境になっている
WordPress本体はこまめにアップデートしている
1. 手動
2. 自動
テーマ・プラグイン・翻訳はこまめにアップデートしている
1. 手動
2. 自動
データのバックアップを定期的にしている (ファイルとデータベース両方)
1. 手動
2. 自動
バックアップのスケジュール・頻度
1. 毎日
2. 毎週
3. 毎月
バックアップデータの格納先
1. サイトと同一サーバー上
2. 別のサーバー・ストレージサービスなど遠隔スペース
バックアップ先は、セキュリティを施してアクセスは制限されている
データベースの肥大化を防いでいる
- 投稿履歴の件数を制限している
- データベースの最適化を定期的に行っている
リストアなど復旧作業のシミュレーションを検証環境上で行っている

WordPressセキュリティ

アプリケーションレイヤー

テーマ・プラグインは出所 (開発元) を確認して適切に管理している
- 公式ディレクトリ掲載テーマ・プラグイン (審査レビューチェック済み)
- 有料テーマ・プラグイン
- 野良テーマ・プラグイン (配布先ダウンロードが特定サイトのみ、GitHubなどレポジトリのみ)
- 独自開発テーマ・プラグイン
使っていないテーマは、デフォルトテーマ一つだけ残して削除している
使っていないプラグインは削除している
セキュリティ系のプラグインを少なくとも一つは導入している
- ログイン・パスワード試行攻撃防御 (総当たり攻撃・ブルートフォースアタック、パスワードリスト攻撃)
- DDoS 攻撃防御
- メールフォームスパム対策
- コメントスパム対策
- セキュリティ監視
wp-config.php の salt を wordpress.org salt generator で生成して設定している
wp-config.php をアクセスできないルートディレクトリ外に配置している
WordPress 本体を専用ディレクトリにインストールしている
テーマ・プラグインのファイル編集機能を停止している
独自に開発したテーマ・プラグインは適切に管理している
- ソースコードの変更履歴を管理している
- PHPやWordPress本体の最新バージョンにアップデートできるように設計している、または都度対応できるようにしている
- 自動アップデートできるように設計している
  - WordPressの自動アップデートの仕組みを組み込んでいる
  - GitHubなどレポジトリを分けて管理をしている
- 独自テーマ・プラグインをいつでも修正をして不具合対応・改修ができる
- 継続的に改善を行ってテーマ・プラグインの性能・品質を向上し続けている

ミドルウエアレイヤー

ファイルパーミッションを適切に設定している
PHPの実行を拒否、ファイルアクセス拒否制御を行っている
- wp-config.php
- /wp-admin/includes/
- /wp-includes
- /wp-includes/js/tinymce/langs/
- /wp-includes/theme-compat/
- /wp-content/themes/
- /wp-content/plugins/
- /wp-content/uploads/
管理画面ログインアクセスのセキュリティを強化している
- reCAPTCHAを導入している
- Basic認証を導入している
- 管理画面のアクセスをIPアドレスホワイトリストで限定している
- 2段階認証・2ファクタ認証を導入している
- ログイン画面をデフォルトのURLアドレスから変更して、アドレスを知っている限られた人にのみに制限
XML-RPCへのログインアクセスのセキュリティを強化している
- アクセスをIPアドレスホワイトリストで限定している
- XML-RPCの機能を無効化している
サイトへの特定のアクセスをIPアドレスブラックリストで制限している
国外IPアドレスフィルタを有効にしている
WAFを導入している、またはWAF機能を有効にしている
マルウェア混入チェックを定期的に行っている
脆弱性診断を定期的に行っている

ヒューマンファクター

ユーザ名 admin は削除している、または存在していない
ユーザ名 admin のログインを即時禁止している
ユーザアカウントのパスワードを適切なパスワード強度で設定している
- 8文字以上
- 小文字・大文字・数字が最低1つずつ含まれている
- できれば記号も含める
- パスワード自動生成なら尚よし (Password Generator)
ユーザアカウントの使い回しをしていない
複数のユーザアカウントには、適切な操作権限を付与している
使われていないユーザアカウントは定期的に削除している
ログインアクセスを履歴記録している

サーバ・システムインフラ基盤

サーバーの保守管理担当者がいる
レンタルサーバーまたはVPS・クラウドサーバーで運用している
独自ドメインで運用している
接続元IPアドレスが取得できる (リバースプロキシサーバ構成ではX-Forwarded-ForでIPアドレスを送出)
接続元IPアドレスを対象としてアクセス制限ができる
ファイル (URL) を対象としてアクセス制限ができる
SSL/TLS (サーバ証明書) を導入して暗号化通信している
1. http と https 両方でサーバー接続している
2. 常時SSL (https のみに限定してサーバー接続、http はリダイレクト処理)
3. 常時SSL (https のみに限定してサーバー接続、http は80番ポート閉鎖)
通信プロトコル HTTP/2 で通信している
サーバー・データベースやPHPなどミドルウエアを定期的にアップデートしている
定期的にサービスプランを変更してサーバーを刷新している、またはサーバ・システム基盤をリプレイスしている
サーバーパフォーマンスを定期的に計測している、またはモニタリングしている
ネットワークパフォーマンスを定期的に計測している、またはモニタリングしている

運用体制・障害対応

WordPressの保守担当者がいる
死活監視を導入している
1. 人的監視
2. リモート自動監視
アラート通知など障害発生にすぐに気づく体制がある
24時間以内に一次対応 (応急処置) で障害の復旧ができる
障害の原因調査ができる体制がある
WordPressサイトの再現検証、テスト環境がある
再発防止策の実施など根本的な解決を行える体制がある
障害報告・対応作業報告・作業予定など情報を共有している
保守運用体制を定期的にチェックして改善している

その他

WordPressに関連しないファイルを削除、または適切に整理管理している (WordPressの管理下にないファイルや以前のホームページデータなど不要なファイルなど)
移行作業をした際に使ったバックアップデータを残していない
移行作業をした際に使った phpMyAdmin、phpinfo.php を残していない

参考

WordPressバックアップスクリプト「WP Offsite Backup」をリリースしました

公開日: 2018年1月12日 15:02 更新日: 2019年11月27日 14:32 投稿者: thingsym

仕事柄「WordPress (ワードプレス) 保守管理サービス – シングスマネジメント」でバックアップ体制をつくったり。
プラグインでバックアップを試してみたり。
そうこうしているうちに WordPress サイトをバックアップするスクリプトをつくっていました。

WordPressバックアップスクリプト「WP Offsite Backup」は、WordPressのファイルやデータベースのデータを Amazon S3 など外部ストレージに遠隔バックアップするスクリプトです。

WP Offsite Backup - GitHub

使い方は簡単

あらかじめデフォルトの設定をして

bash wp-offsite-backup

とコマンドを走らせるだけ。手動でバックアップします。

また、自動で走らせるには、Cron でスケジュールを設定するだけ。

MAILTO=hoge@example.com

20 0 * * * bash /path/to/wp-offsite-backup/wp-offsite-backup

とすると、毎日0時20分にバックアップします。

WordPressバックアップスクリプト「WP Offsite Backup」の特長

ワードプレスのファイルとデータベースをバックアップ
ストレージサービスにバックアップファイルを保存 (今のところ Amazon S3 だけに対応)
Cron で自動バックアップ
設定のカスタマイズでいろいろなバックアップができます
バックアップファイルのローテーション
ログ履歴の管理

サポートしているストレージサービスは、いまのところ Amazon S3 だけですが、
おいおい Google Cloud Storage や Microsoft Azure Storage などにも対応してみたいと思います。

基本設計は、依存関係の解決やメンテナンスを極力減らすため、
WordPress のプラグイン、WP-CLI などコマンドラインツールに依存せず、
Linux コマンドとストレージサービスのコマンドラインツールだけで済ませるようにしました。
またデータをローカルサーバに残さないようにセキュリティに配慮してみました。

使い方もデフォルトの設定をしたら、コマンドを走らせるだけでバックアップができるを目指してみました。

WordPressバックアップスクリプト「WP Offsite Backup」を導入するには、
いまのところ AWS Command Line Interface などストレージサービスのコマンドラインツールをインストールする必要があるので、
root 権限を持っている VPS やクラウドサーバーに導入に限られてしまいますが、
レンタルサーバーでも動かないかなぁと模索中です。

設定のカスタマイズでバックアップいろいろ

インストールや設定の仕方は、ドキュメントの「Getting Started」を参考にどうぞ。

もちろんバックアップのカスタマイズもできます。

カスタマイズした設定に名前を付けるだけ。

設定も保存して複数持てるので、
WordPressファイルをフィルタリングしたり、
データベースだけバックアップということも。
一つのサーバに複数の WordPress サイトがあっても、
それぞれのウェブサイト用に設定を切り替えてバックアップできます。

その場合のコマンドは、カスタマイズした設定を渡すだけ。

bash wp-offsite-backup customized-config

Cron で自動バックアップも
環境変数 WP_OFFSITE_BACKUP_CONFIG にカスタマイズした設定を渡すだけ。

MAILTO=hoge@example.com

20 0 * * * WP_OFFSITE_BACKUP_CONFIG=customized-config bash /path/to/wp-offsite-backup/wp-offsite-backup

設定のサンプルもあるので参考にしてみてください。

db-only-backup-config (データベースだけバックアップ)
full-backup-config (フルバックアップ)
partial-backup-config (wp-content とデータベースだけバックアップ)
wp-content-only-backup-config (wp-content だけバックアップ)

バックアップファイルのローテーションで費用負担を減らす

ストレージサービスをバックアップに利用すると、
いつの間にかバックアップファイルがたくさんできてしまします。
気が付かないでいると、ムダな費用を払うこともあると思います。
バックアップの性格上、何かがあったときの復旧に必要な直近のバックアップファイルだけあれば、
充分済むことが大半だと思います。

ファイルの整理をするには、Amazon S3 だと、ライフサイクルで有効期限を決めて、
その有効期限が切れたならば、ファイルを削除するということを
ストレージサービス側で設定する必要があります。

これはこれで便利なのですが、
できたらファイル数で制限してファイルのローテーションをしたいと思い、実装してみました。

ストレージサービスの課金は、ディスク使用量によって決まるところが大半なので、
ファイルサイズが大容量になりやすいバックアップファイルにとってより大切なこと。

バックアップファイルのファイル数で制限することで費用をコントロールしながらバックアップシステムが構築できます。

是非WordPressバックアップスクリプト「WP Offsite Backup」を試してみてね。

ドキュメント: wp-offsite-backup - GitHub

WordPress本体をより安全に自動更新できるWordPressプラグイン「WP Auto Updater」をリリースしました

公開日: 2017年9月29日 15:20 更新日: 2019年11月25日 22:16 投稿者: thingsym

WordPressプラグイン「WP Auto Updater」の生まれた背景とかも書いてみたので、めっちゃくちゃ長い文章になっています。
なので、WordPressプラグイン「WP Auto Updater」をサクッと知りたい方は、読み飛ばしてこちらから読んでください。
全文は暇なときに読んでもらえればと思います。

2017年2月に情報公開された WordPress 4.7.0, WordPress 4.7.1の脆弱性

2016年12月6日にリリースされたバージョン 4.7 には、容易に攻撃できる脆弱性が入り込みました。

原因元は WordPress 4.7　から追加された機能 REST API。結果、外部から REST API の脆弱性を利用して WordPress のコンテンツが改ざん被害が確認されました。WordPress の新機能はまずプラグインとして開発されます。機能として完成した段階で WordPress本体に取り込まれます。その過程で脆弱性が入り込み、典型的なメジャーバージョン特性を表すように発見されたわけです。

WordPressは、常に最新版にするべきか

WordPressサイトを運営する側として対応することはあるだろうか?

基本的なスタンスとして、脆弱性を悪用されて被害にあったからアウト。会わなかったからセーフではなく、
被害に関わらず致命的な脆弱性があるコードを晒した時点でアウト。
そういう状況に置くこと自体がアウトというスタンス。
そこを考えて WordPress をアップデートしていくことが必要になってきています。

WordPressは、管理画面を経由してボタンをクリックするだけで簡単にアップデート更新できます。WordPressに詳しくなくても、スキルがなくても、何も考えなくてもできます。便利さの反面、そこに盲点が生まれます。

致命的なことが起こった後に火消し的に対応するのではなく、100%は無理でも、避けられるものは避ける。
自動更新が機能していないから被害が広がるとか聞かれますが、関係ありません。

一番大切なことは、手動、自動かかわらず普段からアップデート方針を持っていること。
その上でサイトを運営することです。

WordPressの管理画面には、メジャーアップデート、マイナーアップデートの区別なく常に最新版に促すメッセージが流れます。スマホアプリのようにバッチで通知されます。
もちろん WordPress はスマホアプリではなく、ウェブアプリです。
さらに WordPress はオープンソースで誰でも使える。
いろんな人がいろんな目的で利用し、ウェブサイトやブログを運営しています。

WordPressのセキュリティに関してのブログ記事を目にすることもあるかと思います。
そこに最新版にするとよく書かれていますが、
メジャーアップデート、マイナーアップデートのどちらを指しているかわかりません。

はたして常に最新版にすることが安全と言えるのでしょうか。

現場でやっている WordPressアップデートの基本的な考え

実際、WordPressサイトを運営したり、
クライアントのウェブサイトの運営をお手伝いしていますが、
常に最新版にしていることはありません。

マイナーアップデートは自動でまたは手動でこまめに適用していますが、
メジャーバージョンがリリースされてもすぐにはアップデートしません。
最新のメジャーバージョンで追加された新機能をつかいたいなど特段の理由がない限り、
ある程度時間をおいてから行います。
前出のメジャーバージョン特性があるからです。

また、メジャーアップデートを止めることもしません。
必ずどこかの段階でメジャーアップデートを行います。
目安としては最新のバージョンとのバージョンナンバーが大きく離れないこと。
アップデートを止めていたり、アップデートはしていてもバージョンナンバーが大きく離れると、
検証作業が別途必要になってきます。

ということで、検証作業を行う必要がない範囲で
メジャーバージョンのアップデートをする前提で
WordPressサイトを運営しています。

これもすべて普段からアップデート方針を持っているからです。

より安全なWordPressの自動更新を目指して

上記のアップデート方針を取ろうとしてもなかなかできないのも事実です。
まず手動ですることが前提になります。
いちいち管理画面でアップデート更新するしかありません。

それも一定のスケジュールをもって行う必要があります。
どこかで忘れたり、面倒くさがってアップデートを怠ります。
場合によっては、ブログを更新するときについでにアップデートする。
けどそれは、ブログを書かなくなるとアップデートが止まることを意味します。

やはりここは自動更新でと思っても。

メジャーバージョンの自動更新を有効にしても、
リリースされるとすぐに最新版の WordPress が適用されてアップデートします。
基本的な考えに沿った形になりません。

自動更新で実現するには、「どのようにして自動更新を行うのか」
「いつメジャーアップデートをするのか」という問いに答えなければなりません。

WordPressのバージョンを固定してコントロールという発想を実装

幸い WordPress のバージョンナンバリングは、セマンティックバージョニングのように体系化がきっちりなされています。
バージョンナンバリングをうまく活用すれば、WordPress本体の更新がコントロールできるのではないかと、早速ソースコードを読み進めました。
また、WordPressの裏側には API があります。この API は、インストールされた WordPress本体と現在の最新版とのバージョンの比較をしています。WordPressの最新版やマイナーバージョンがリリースされたらアップデートを通知する仕組みでもあります。

WordPressの自動更新でメジャーバージョンのアップデートを有効にすると、常に最新のバージョンにアップデートします。
これをあるときには最新のバージョンにアップデートさせない、ある条件を満たせば、メジャーアップデートさせる。バージョンナンバリングと API を組み合わせて、バージョンを固定したり、アップデートそのものをコントロールする。というところに行き着きました。

メジャーアップデートでいかに安全な方向に倒すか、フェイルセーフ 2 つの方向性「Minor Only Version Update」「Previous Generation Version Update」

それによって可能になることは、メジャーアップデートをするけれど、より安全にできること。
メジャーバージョン特性をなくせれば、メジャーアップデートもより安全になります。
メジャーバージョン特性を無くすことの基本的な原理は単純で、メジャーバージョンのリリース直前のメジャーアップデートを辞めるに尽きます。

ではいつメジャーアップデートすればいいのか。方向性は 2つあります。

一つ目は、メジャーバージョンのリリース直前のアップデートではなく、マイナーバージョンがリリースされた段階でメジャーアップデートする「Minor Only Version Update」。これはある程度メジャーバージョンが使われて、あらかた不具合も発見されている可能性は高まった段階でメジャーアップデートをおこなう。以降はマイナーアップデートをきちっと適用してくれます。

もう一つは、最新のバージョンを使わない。ひとつバージョンを遅らせて使う「Previous Generation Version Update」。
常に前バージョンを使えば、極めて安全な運営が実現できます。
最新のメジャーバージョンがリリースされると、一つ前のバージョンにメジャーアップデートする。
この場合、大体においてマイナーアップデートが入ったバージョンで行ってくれると思います。

おまけにもう一つ可能になることが出てきました。
自動更新を常に安全な方向に持って行けば、
WordPress本体の更新は、今まで手動だったのを、これからは自動で行うことを前提として運営できる。
テーマ、プラグインも最新バージョンに対応して出揃った段階で WordPress本体をアップデートできる。

また管理面の負担が減ります。
手動で WordPressの管理画面に入って更新する、またはコマンドで操作する必要がなくなりました。
最新版を使いたいときだけ、手動でメジャーアップデートする。
でも基本的な方向性は安全な方向を保ったまま。といった運営が実現します。

そして、WordPressプラグイン「WP Auto Updater」が生まれました。

長くなりましたが、ようやく本題です。

WordPressプラグイン「WP Auto Updater」は、WordPressの本体 (コア)、テーマ、プラグイン、翻訳を自動更新するプラグインです。WordPress本体のバージョンをコントロールしてより安全に自動更新ができるようになります。

主な機能は、

WordPress 本体 (コア) の自動更新
テーマ、プラグイン、翻訳の自動更新
自動更新スケジュールの設定
個々のテーマ、プラグインの自動更新を無効化する機能
自動更新の履歴を記録 (ログ)

以上を管理画面で設定できます。

まずは、

WordPressの自動更新をする前に、重要なことがあります。
それは、バックアップをきちっと取ること。
WordPressの更新はファイルの変更が伴うため、バックアップ系プラグインを導入など必ずバックアップ体制を作ってください。

WordPressプラグイン「WP Auto Updater」をインストールして有効化すると、管理画面が用意してあります。

自動更新シナリオ (Auto Update Scenario) を作る

WordPressプラグイン「WP Auto Updater」の管理画面で、
自動更新シナリオ (Auto Update Scenario) を作って WordPressの自動更新の方針を決めます。

WordPress 本体の自動アップデートは、以下の 5 つから選択できます。

マイナーバージョンをアップデート (推奨) / Minor Version Update (Recommended)
メジャーバージョンをアップデート / Major Version Update
マイナーバージョンだけをアップデート / Minor Only Version Update
一世代前のバージョンをアップデート / Previous Generation Version Update
手動でアップデート / Manual Update

マイナーバージョンをアップデート (推奨) / Minor Version Update (Recommended)

マイナーバージョンをアップデート (推奨) は、マイナーアップデートを有効化します。
マイナーアップデートは、セキュリティのための WordPress のデフォルトの機能です。
バージョンナンバーの動きから観ると、4.8 から 4.8.1, 4.8.2… とマイナーバージョンがリリースされる度に自動更新されます。メジャーバージョンである 4.9 に自動更新はしません。
WordPressプラグイン「WP Auto Updater」では、マイナーアップデートをできるだけ有効な状態を保つようにしています。

メジャーバージョンをアップデート / Major Version Update

メジャーバージョンをアップデート はメジャーアップデートを有効化します。
WordPressのデフォルトでは、無効になっています。
バージョンナンバーの動きから観ると、4.7 から 4.8, 4.9 とメジャーバージョンがリリースされる度に自動更新されます。

マイナーバージョンだけをアップデート / Minor Only Version Update

マイナーバージョンだけをアップデート は、バージョン x.y.0 のメジャーバージョンを除くメジャーアップデートとマイナーアップデートを有効化します。

この自動更新は、セキュリティの修正が入ったバージョン x.y.1 以降の WordPress がリリースされた段階でメジャーアップデートを実施します。メジャーバージョンであるバージョン x.y.0 or x.y ではメジャーアップデートをしません。
バージョンナンバーの動きから観ると、4.7.z から 4.8.z, 4.9.z とメジャーバージョンとマイナーバージョンがリリースされる度に自動更新されます。つまり 4.7.0, 4.8.0, 4.9.0 のメジャーバージョンをスキップします。

一世代前のバージョンをアップデート / Previous Generation Version Update

一世代前のバージョンをアップデート は、最新メジャーバージョンの WordPress を除くメジャーアップデートとマイナーアップデートを有効化します。

この自動更新は、WordPress 4.6.z をインストールしているとすると。最新メジャーバージョンの WordPress 4.8.0 がリリースされるときには、メジャーバージョン 4.7.z にメジャーアップデート。
常に最新バージョンの一つ前のバージョンにメジャーアップデートします。その場合、大体においてセキュリティの修正が入ったバージョンがアップデート対象になると思います。

手動でアップデート / Manual Update

メジャーアップデートとマイナーアップデートの自動更新を無効化します。
WordPressの管理画面から手動でアップデート更新します。

テーマ、プラグイン、翻訳の自動アップデートは、

自動更新 / Auto Update
手動更新 / Manual Update

が選べます。

またテーマ、プラグインは、個々に自動アップデートの無効化ができます。
ちょっと信頼できないテーマ、プラグインは一時的に自動更新を止めて様子を見たり、
検証環境で確認してから手動でアップデートの手順を取るなど
安全に更新ができる体制が作れると思います。

自動更新のスケジュールを設定

次に自動更新のスケジュールを設定します。

更新間隔は、以下から選べます。

1日2回 (12時間間隔) / Twice Daily (12 hours interval)
毎日 / Daily
毎週 / Weekly
毎月 / Monthly

デフォルトでは、自動アップデートがいつ動くか時間を指定できないですが、
WordPressプラグイン「WP Auto Updater」では、自動アップデートを動かす日時も指定できます。

訪問者の少ない深夜帯に自動更新をしたり、
都合のいい日時時間に自動更新することも可能になります。

自動更新

自動更新のスケジュール間隔で自動更新のチェックが入ります。
アップデートできる WordPressの本体 (コア)、テーマ、プラグイン、翻訳があれば、自動的にアップデートしてくれます。
アップデートしたWordPressの本体、テーマ、プラグイン、翻訳は、アップデート履歴に記録されます。

以上が WordPressプラグイン「WP Auto Updater」での自動更新の設定と自動更新が行われるまでの流れです。

WordPressを自動更新で運営してみたい方は、WordPressプラグイン「WP Auto Updater」を是非使ってみてください。
「WordPress を活用する人を幸せする運営はあるのだろうか」に少しでも応えられたら幸いです。

Nav Menu メニュー項目の id/class 属性を整えるWordPressプラグイン「Nav Menu Trim」を作りました

公開日: 2017年8月2日 17:12 更新日: 2019年11月25日 22:17 投稿者: thingsym

WordPress が生成する Nav Menu のメニュー項目には、id 属性や class 属性にたくさんの値が追加されます。

実際 WordPress テーマの設計やスタイルシートで使うのは、
現在の表示しているページかどうかの class 属性値 current-menu-item だったり、
ドロップダウンメニューを作るために、または矢印アイコンをつけたりするためにサブメニューがあるかどうかの class 属性値 menu-item-has-children の 2 つだけあれば良かったりします。

WordPressプラグイン「Nav Menu Trim」は、Nav Menu のメニュー項目の id/class 属性を必要なものだけに整えてくれるプラグインです。
ユーティリティな感じで作ってみました。

使い方は簡単。

インストールして有効化すると。WordPress のカスタマイザー「Menus」の下のほうに
メニュー「Nav Menu Trim」が追加されます。
そこで取り除きたい項目をチェックするだけ。

外観 > カスタマイズ > メニュー
(Appearance > Customize > Menus)

id 属性値と class 属性値すべてを取り除きたかったらすべて選択。
ドロップダウンメニューを作ったり、メニューにアイコンを付けたかったら上 3つだけ選択。

またメニュー項目を作るときにつけられるオプション CSSクラスで独自の属性値がつけられるので、class 属性を独自の値だけにしたいときにも役に立つと思います。

WordPress テーマ設計で HTMLやCSS　にこだわりを持つ方にどうぞ。

WordPressをサーバH2Oで動かす (WordPressアプリケーションサーバとしてのH2O)

公開日: 2017年3月24日 14:28 更新日: 2019年11月27日 14:36 投稿者: thingsym

常時SSL とプロトコル HTTP/2 に対応するため、サーバ環境を新しくしてウェブサイトを移行しました。
新しい試みとしてサーバ構成を CentOS7 + PHP7 + MariaDB + H2O + WordPress にしてみました。

次世代の HTTPサーバ H2O を中心に速い WordPress を目指してサーバを構築。

今回 WordPress を HTTPサーバ H2O でどのように動かせばいいのか見てみたいと思います。

HTTPサーバ H2O とは

H2O は、プロトコル HTTP/2 に最適化されたウェブサーバです。

ここ数年でセキュリティ面で SSL が必須になりつつあり、ネット環境も新しい通信規約 (プロトコル) が求められている時代に最適なウェブサーバのひとつになっていくのだろうと注目していました。

H2O の開発は、2014年から元DNAの @kazuho さんが中心にオープンソースとして進められています。Perl を使っている方はウェブアプリを作るときに Server::Starter でお世話になっているのでは。ボクもいつもお世話になっています。
Server::Starter は、H2O のバックグラウンドにも使われていて start_server が動いているのが見て取れます。こういうところにも使われているのかとほんと感心しますね。

HTTP/2 時代を見据えているだけあってサーバの性能もベンチマークを見るとレスポンスが Apache や Nginx より速い。
他にも H2O の技術要素に注目したいものがたくさんあるのですが、詳しく知りたい方は、公式サイトやスライドも上がっているのでそちらを見ていただければと思います。

WordPress をサーバ H2O で動かす

2015年6月に FastCGI機能を実装したバージョン 1.3.0 がリリースされて、PHP が動くようになりました。
サーバ H2O で WordPress を動かすには、2 つの方法があります。

ひとつめは、WordPress を PHP-FPM や HHVM で管理。Nginx で従来やっている馴染みのあるやり方をそのまま踏襲。H2O も fastcgi.connect でホストに繋げてレスポンスを返してくれる。

今回採用したもう一個の方は、H2O 自体で管理する方法。
fastcgi.spawn で起動してH2Oの下で PHP のプロセスを管理してくれます。
PHP-FPM や HHVM をインストールしてコンフィグの設定起動、運用の手間がなくなります。

今回の試みとして思っていたことで、
WordPress とかPHPアプリを動かすアプリケーションサーバとしてH2Oは、最適なんじゃないかなぁと。

実際 H2O の下に php-cgi が動いているのが見て取れます。

WordPress を動かすサーバ設定 (/etc/h2o/h2o.conf) もYAML書式でシンプルに書けます。

以下これだけでWordPressが動きます。

paths:
  "/":
    file.dir: /path/to/wordpress
    redirect:
      url: /index.php/
      internal: YES
      status: 307
    file.custom-handler:
      extension: .php
      fastcgi.spawn: "PHP_FCGI_CHILDREN=10 exec /usr/bin/php-cgi"

実にシンプル。YAMLでわかりやすいのがいいですね。(本番運用には、自動更新やダッシュボードへのアクセスのところでもう少し手を入れる必要があるのですが。)

で今回の試したサーバ設定は、

常時SSL
www にURL正規化
http から https にリダイレクト
WordPress ツールバーからダッシュボード (www.example.com/wp-admin/) へアクセス
WordPressの自動更新ができるように
FastCGI のスループットチューニング
他もろもろ

で以下のような本番運用サーバ設定 (/etc/h2o/h2o.conf) になりました。

user: nobody
 
listen:
  port: 80
listen:
  port: 443
  ssl:
    certificate-file: /path/to/fullchain.pem
    key-file: /path/to/privkey.pem
 
hosts:
  "localhost":
    paths:
      "/":
      redirect:
        status: 301
        url: https://www.example.com/
 
  "www.example.com:80":
    paths:
    "/":
      redirect: https://www.example.com/
  "www.example.com:443":
    paths:
      "/":
        file.dir: /var/www/wordpress
        redirect:
          url: /index.php/
          internal: YES
          status: 307
 
file.index: [ 'index.php', 'index.html' ]
 
file.custom-handler:
  extension: .php
  fastcgi.spawn:
    command: "PHP_FCGI_CHILDREN=10 exec /usr/bin/php-cgi"
    user: example
  fastcgi.timeout.keepalive: 10000
 
access-log: "| exec sudo rotatelogs /var/log/h2o/access.log.%Y%m%d 86400"
error-log:  "| exec sudo rotatelogs /var/log/h2o/error.log.%Y%m%d 86400"
 
pid-file: /var/run/h2o/h2o.pid
http1-upgrade-to-http2: ON
http2-reprioritize-blocking-assets: ON

WordPressを動かすH2Oサーバ設定のポイント

WordPress ツールバーからダッシュボード (www.example.com/wp-admin/) へアクセス

通常の設定では、WordPress ツールバーからダッシュボード (www.example.com/wp-admin/) へアクセスは、トップページを返してしまいます。

ダッシュボードにアクセスできるように file.index で index.php を追加して www.example.com/wp-admin/ で　www.example.com/wp-admin/index.php にアクセスするようにしました。

WordPressの自動更新ができるように

H2O はデフォルトで nobody の下で動きます。
H2Oの管理下にある PHP も nobody で動きます。
WordPressの自動更新は、WordPressのファイル所有者の下でPHPが動かないと自動更新が働きません。
fastcgi.spawn には、どのユーザ user で動かすか指定できるので、WordPressのファイル所有者を指定して動かします。

FastCGI のスループットチューニング

fastcgi.spawn での PHP への接続は、デフォルトでは1回限りの接続です。これだとWordPressが動くたびにコネクションが発生します。
fastcgi.timeout.keepalive で Keep-Aliveを 10 秒に指定。一定時間 FastCGI の接続を継続させてスループットを改善してみました。

まだまだキャッシュ周りやいろいろチューニングができそうなので、運営しつつ試してみたいと思います。

WordPress保守運用チェックリスト

WordPress保守・保全

WordPressセキュリティ

アプリケーションレイヤー

ミドルウエアレイヤー

ヒューマンファクター

サーバ・システムインフラ基盤

運用体制・障害対応

その他

参考

使い方は簡単

WordPressバックアップスクリプト「WP Offsite Backup」の特長

設定のカスタマイズでバックアップいろいろ

バックアップファイルのローテーションで費用負担を減らす

最新版メジャーアップデートは安全とは言い切れない問題がはらんでいる

2017年2月に情報公開された WordPress 4.7.0, WordPress 4.7.1の脆弱性

WordPressは、常に最新版にするべきか

現場でやっている WordPressアップデートの基本的な考え

より安全なWordPressの自動更新を目指して

WordPressのバージョンを固定してコントロールという発想を実装

メジャーアップデートでいかに安全な方向に倒すか、フェイルセーフ 2 つの方向性「Minor Only Version Update」「Previous Generation Version Update」

そして、WordPressプラグイン「WP Auto Updater」が生まれました。

まずは、

自動更新シナリオ (Auto Update Scenario) を作る

マイナーバージョンをアップデート (推奨) / Minor Version Update (Recommended)

メジャーバージョンをアップデート / Major Version Update

マイナーバージョンだけをアップデート / Minor Only Version Update

一世代前のバージョンをアップデート / Previous Generation Version Update

手動でアップデート / Manual Update

自動更新のスケジュールを設定

自動更新

HTTPサーバ H2O とは

WordPress をサーバ H2O で動かす

WordPressを動かすH2Oサーバ設定のポイント

WordPress ツールバーからダッシュボード (www.example.com/wp-admin/) へアクセス

WordPressの自動更新ができるように

FastCGI のスループットチューニング

参考サイト

最近の投稿

カテゴリー

アーカイブ

検索