エックスサーバーの WAF をどこまでオンにするか：コードの記事を載せるサイトでの考え方

エックスサーバーには、サーバーパネルでオンにできる WAF（ウェブアプリケーションファイアウォール）があります。怪しい文字が入ったアクセスを見つけて止める仕組みです。

全部オンにすればいちばん安全に見えますが、このサイトのように、コードの見本を載せる記事が多いと困ることがあります。記事の中のコードが「怪しい文字」と見なされて、下書きの保存が止まるかもしれないからです。

このドメインには、WordPress の記事のサイトのほかに、HTML を貼りつけて使う道具のサイトもあります。そこで、6 つの対策のうち、ファイル対策とメール対策だけをオンにしました。その考え方をまとめます。

WAF の 6 つの対策

エックスサーバーのマニュアル（WAF設定）に書いてある中身を、短くまとめると次のとおりです。

見つかったアクセスは、拒否されてエラーのページになります（マニュアルより）。

マニュアルには、WAF は最低限の予防で、全部を防げるわけではないこと、WordPress などを新しいバージョンにしておくことが根本の対策であることも書いてあります。

コードの記事を載せるサイトで、どこが困るか

WAF は、アクセスの中の文字を見て判断します。WordPress で記事を保存するときは、記事の本文がそのままサーバーに送られます。

なので、記事の中にコードの見本があると、その文字に WAF が反応するかもしれません。下の表の「止められやすさ」は、マニュアルの説明から考えた見込みです。

ファイル対策は、サーバーの設定ファイルを狙うアクセスを止めるもので、ふだんの記事の保存とはあまり重なりません。ただ、.htaccess の書き方を説明する記事を保存するときに止まるかもしれないので、オンにした後に確認します（下の「確認の方法」）。

メール対策は、お問い合わせのフォームを使った大量のメールの送信を止めるものです。フォームがあるサイトでは守る意味が大きく、記事の保存とはぶつかりにくいので、オンにしました。

オフにした分は、ほかの守りで補う

WAF をオフにした対策は、主に「ログインした人の操作」とぶつかるものです。そこで、ログインそのものを守る方を固めています。

<Files xmlrpc.php>
    Require all denied
</Files>

XML-RPC は、スマホのアプリや外のサービスから記事を書くための仕組みです。使っていなければ止めてかまいません。Jetpack など、XML-RPC を使うプラグインがあるときは止めないでください。

オンにした後の確認の方法

マニュアルによると、WAF の設定を変えてから効くまで、新しいサーバーパネルで最大 30 分ほど、古いサーバーパネルで最大 1 時間ほどかかることがあります。変えた直後ではなく、時間をおいてから確認します。

for u in https://example.com/ https://example.com/archives/1 https://sub1.example.com/; do
  printf "%s %s\n" "$(curl -s -o /dev/null -w '%{http_code}' "$u?nc=$RANDOM")" "$u"
done

# サーバーパネルの「アクセスログ」で落としたファイルを、手元で見る
grep "203.0.113.10" example.com.access_log_20261011 | grep -E '" (403|406|500|501) ' | cut -c1-200

止められたときに、ログにどの数字で残るかは、マニュアルの WAF のページには書いてありませんでした。このサイトで止められたときは、画面に「501 Not Implemented」と出ました（下の「確認した結果」）。数字は広めにとり、保存した時刻の前後の行を見ます。アクセスログは、毎日午前 4 時ごろに、日ごとのファイルとして作られます（マニュアルより）。その日の分は、次の日に見ることになります。

2 で止まったときは、記事を直す間だけその対策をオフにするか、コードの書き方を変えるかを選びます。オフにしたときは、戻すのを忘れないようにします。

確認した結果

WAF そのものは、エックスサーバーの上でしか動きません。作業環境では試すことができないので、記事の保存は本番で確認します。このサイトでは、この記事の下書きがまさに止まりました。設定ファイルの名前をいくつも並べる記事は、ファイル対策をオンにすると保存できないことがあります。

まとめ

コードの記事がないサイトや、お問い合わせのフォームだけのサイトなら、もっと多くの対策をオンにしてもよいはずです。どのサイトでも、オンにした後に「いつもの操作が止まらないか」を確認するのが大事です。

参考

• WAF設定（エックスサーバー マニュアル）
• アクセスログ（エックスサーバー マニュアル）