WordPress functions.php

移したあとのバックアップが、公開フォルダに残っていた

管理しているサイトで、サーバーの中のファイルを見直していたときのことです。サイトを移すときに Duplicator というプラグインを使っていたのですが、wp-content の中のバックアップのフォルダに、移したときのファイルがそのまま残っていました。

Duplicator は、サイトのファイルと DB をまとめたアーカイブと、それを新しいサーバーで広げるためのインストーラーを作ります。移し終えたあとはいらないファイルですが、プラグインを止めても、作ったファイルは消えずに残ります。

残っていたもの

アーカイブの中の DB には、ユーザーの情報や設定がすべて入っています。wp-content の中は公開フォルダなので、ファイルの名前さえ分かれば、ブラウザからダウンロードできてしまう場所です。

どこが危ないのか

アーカイブの名前には、推測されないように乱数が入っています。そのため、置いてあるだけですぐに取られるわけではありません。ただ、名前がどこかに出てしまうと、その時点で取れる状態になります。

実際に、記事に使った画面の画像に、本物のアーカイブの名前が写っていたことがあり、気づいて名前を伏せました。管理画面の画像や、ファイルの一覧の画像は、思ったより多くの情報が写るので、残しておかないのがいちばん確実です。

片付け方

1. DB のバックアップがほかにあるかを確かめる

アーカイブは、それ自体がバックアップの役目もしています。消す前に、サーバーの自動バックアップや、別の場所に取っている DB のバックアップがあるかを確かめておきます。ほかにバックアップがないときは、先に取ってから進めます。

2. どれくらいの大きさかを見る

SSH が使えるサーバーなら、du コマンドで、フォルダの大きさを見ておくと、消したあとにどれだけ空いたかが分かります。

du -sh wp-content/duplicator-backups wp-content/backups-dup-lite 2>/dev/null

3. フォルダごと消す

中身を確かめたら、バックアップのフォルダごと消します。FTP やサーバーのファイル管理の画面からでも消せます。消してみると、1 つのサイトで数百 MB から数 GB が空き、たとえば 1.6GB、840MB、210MB といった大きさでした。

4. 使わないなら Duplicator を止めて削除する

このあと移す予定がなければ、管理画面のプラグインの一覧で Duplicator を停止し、削除します。プラグインを残しておくと、次にだれかが使ったときに、また同じ場所にアーカイブができます。また移すときに入れ直せば十分です。

確かめ方

片付けたあとは、管理画面のプラグインの一覧から Duplicator が消えているか、サーバーのファイルの一覧からバックアップのフォルダが消えているかを見ます。

消えたことを確かめるために、外からアーカイブの URL を何度も開くのはおすすめしません。ない URL を続けて開くと、サーバーによっては攻撃と見なされて、IP が止められることがあります。確かめはファイルの一覧か、管理画面で行います。

気をつけること

• Duplicator 以外のバックアップのプラグインでも、wp-content の中にバックアップを置くものがあります。使ったことのあるプラグインのフォルダが残っていないかも見ておきます
• 移したあとのサイトの一番上に、インストーラーのファイルが残っていないかもあわせて見ておくと安心です
• 記事やマニュアルに画面の画像を載せるときは、ファイルの名前や URL が写っていないかを見てから使います

まとめ

• Duplicator のアーカイブには、サイトのファイル丸ごとと DB が入っている。プラグインを止めても消えない
• 名前に乱数が入っていても、画面の画像などに名前が出れば取れてしまう
• DB のバックアップがほかにあることを確かめてから、フォルダごと消す。使わないなら Duplicator も削除する
• 確かめは管理画面とファイルの一覧で行い、外から URL を何度も試さない

参考

• Duplicator（WordPress.org のプラグインのページ）
• WordPress Backups（developer.wordpress.org）
• Hardening WordPress（developer.wordpress.org）