ワードプレス（WordPress）セキュリティ

さくらインターネットのスタンダードでWordPress構築したサイトを独自ドメイン常時SSL運営するための注意点

2015.10.11
この記事は約3分で読めます。

さくらインターネットでのSSL＋WordPressWordPressはバージョン4から常時SSL化に対応しやすいように仕様変更になっている。最近、次々と常時SSL化するWEBサイトが目につくようになってきた。このブログで運用しているレンタルサーバは「さくらインターネット」であり、「dm2.co.jp」という企業ドメインに関してはMovableTypeでのSSL化を進めているところである。
しかし、さくらインターネットのスタンダードでWordPress構築したサイトを独自ドメインで常時SSL運営しようとするとなんらかの問題が発生している。さくらインターネットのポートに問合せたところ、「基本的にWordPressで常時SSL化は無理」という内容の返信がきた。実際にいくつかのWordPress構築されたサイトでのSSL化を図ったが、リダイレクトループが発生したり、非SSLページにリダイレクトされたりなど、なんからの問題が起きている。

▼さくらインターネットのサポートに問合せた返信内容

「さくらのレンタルサーバ」では、1台のサーバで複数のサービスを
ご提供できる仕様としており、ウェブサーバに関しましても
80番ポートを使用するHTTP用のサーバと、443番ポートを使用する
HTTPS用(SSL通信用)のサーバの2つが起動しております。

このため、WAFや一部のSSL(共有SSLやSNI SSL)を用いた運用に関しましては、
一部制限がございます。

▼ SSL利用時の注意点
https://help.sakura.ad.jp/app/answers/detail/a_id/2325

WordPressはmod_rewriteというウェブサーバApacheのモジュールを使用して
おります。本件に関しましてはこちらが原因かと存じます。

なお、ビジネスプロプラン、もしくはさくらのマネージドサーバであれば、
この度の影響は受けません。

また、wwwという文字列が付与される原因について、詳細はわかりかねますが、
多くの場合、HTMLの生成もしくは読み込み時においてリダイレクトを行う
処理が含まれているのではないかと推測いたします。

お手数ではございますが、本件においては運用形態を見直していただくか、
上位プランのご利用をご検討くださいますようお願いいたします。

レンタルサーバー側としては、スタンダードコースでWordPressを常時SSLで運用するのは無理だということである。

さくらインターネットでWordPressを常時SSL運用するための対策

世の中には先進的な方がたくさんいるようで、すでにさくらインターネットでWordPressを常時SSL化して運用している例もある。サーバー側の正式なサポートを受けることはできないが、やり方を工夫すれば運営はできそうである。

▼さくらインターネットでRapidSLLを使いリダイレクトが起きるというエラー
https://ja.forums.wordpress.org/topic/148323

解決済みのページに
https→httpに勝手にリダイレクトされてしまう
https://ja.forums.wordpress.org/topic/151032
があるが、悩ましい。

さくらのレンタルサーバ・共有SSLで .htaccess によりSSLのみのアクセス許可を設定する方法
http://furyu.hatenablog.com/entry/20150410/1428674881
をみると、うまく運用できそうな気もする。

今のところ
http://qiita.com/tabimoba/items/64ef60412abe7ad6f0ac
で紹介しているやり方を試してみようかと考えている。

なお、エックスサーバでは常時SSL設定したWordPress運営がやりやすそうだ。実装がうまくいっているという情報が多い。
http://j-sem.net/wordpress_ssl_htaccess/
https://netotas.net/ssl-xserver