EC-CUBEのバージョンアップ前に現在のデータディレクトリのチェックを！公開ディレクトリ編

2024年04月30日更新 2024年04月30日投稿

EC-CUBEのバージョンアップを行う前に、現在のデータディレクトリが適切に設定がとても大切であることをご存じでしょうか？この記事では特に、公開ディレクトリのセキュリティに焦点を当てて、チェックポイントを解説します。適切な設定がなされているかどうか、しっかり確認してみましょう。

INDEX

公開ディレクトリに重要なファイルを配置していませんか？

EC-CUBEの公開ディレクトリってなに？

EC-CUBEの公開ディレクトリとは、EC-CUBEがウェブサイトとして公開される際に、一般のユーザーがアクセス可能なファイルが配置される場所のことです。一般的には、ウェブサーバーのドキュメントルートや公開されたディレクトリに配置されます。公開ディレクトリには、ウェブサイトの表示に必要なHTMLファイル、CSSファイル、JavaScriptファイル、画像ファイルなどが含まれます。これらのファイルは、ウェブサイトの構造やデザインを定義し、ユーザーが閲覧するコンテンツを提供します。

一方で、EC-CUBEの公開ディレクトリには、セキュリティ上のリスクが伴うこともあります。重要な機密情報やセンシティブなデータを含むファイルが誤って公開されることを防ぐために、公開ディレクトリには注意が必要です。セキュリティ対策として、重要なファイルやデータは公開ディレクトリ以外の安全な場所に配置し、アクセスを制限することが推奨されます。たとえば、設定ファイルやデータベースのバックアップなどの秘匿すべき情報が公開されると、セキュリティリスクが高まります。公開ディレクトリに重要なファイルが配置されていないかどうかを確認するために、以下の手順をお勧めします

ファイルの一覧確認をします。公開ディレクトリ内のファイルを一覧し、重要なファイルが含まれていないか確認します。

不要なファイルの削除します。公開ディレクトリに不要なファイルがあれば、適切に削除し、これにより、誤って公開されるリスクを軽減します。

機密性の高いファイルは非公開のディレクトリに移動する。必要なファイルであっても、公開ディレクトリから別の場所に移動し、機密性の高いファイルは、公開されないよう非公開のディレクトリに配置しましょう。

公開ディレクトリには、EC-CUBEの正常な動作に必要なファイルを配置することが重要ですが、同時にセキュリティ上の配慮も欠かせません。重要なファイルが誤って公開されないよう、定期的な確認と適切な管理を行いましょう。

Data以下のファイル、フォルダが公開されていないか？

EC-CUBEのURL直下(例:https://example.com/path/to/ec-cube/data など)に data フォルダが公開されていないかご確認ください。もしくは、 EC-CUBEの URL と同階層(例:https://example.com/path/to/ec-cube の場合https://example.com/path/to/data)に data フォルダが公開されていないかご確認ください。https://example.com/path/to/ec- cube/data/Smarty/templates/default/site_frame.tpl などにアクセスし、ファイルの中身が表示されないことをご確認ください。 data フォルダに .htaccessというファイル名で、以下の内容を保存してください。order allow,denydeny from all保存した後、ファイルの中身が表示されないことをご確認ください。

管理画面の URLを変更したにも関わらず、標準のadmin フォルダが残存していないか？

管理画面の URL を標準の admin から変更した場合、 admin フォルダが残っていないことをご確認ください。 admin フォルダが残っている場合使用しなくなったプログラムが含まれています。admin を削除してください。

アップロード可能な拡張子やファイルの制限設定しているか？

EC-CUBEのセキュリティを向上させるために重要なのは、WebサーバやWebアプリケーションによるアップロード可能な拡張子やファイルを制限する設定を行うことです。これにより、不正なファイルのアップロードや実行を防止し、サイトの安全性を高めることができます。

アップロード可能な拡張子の制限

WebサーバやWebアプリケーションの設定によって、アップロード可能なファイルの拡張子を制限することができます。例えば、実行可能なファイルやスクリプトファイルなどの危険性が高いファイルをアップロードできないように設定します。

MIMEタイプの検証

アップロードされたファイルのMIMEタイプを検証し、許可されているファイルタイプであるかどうかを確認します。不正なMIMEタイプを持つファイルをブロックすることで、セキュリティを強化します。

MIMEとは

MIME（Multipurpose Internet Mail Extensions）タイプは、ファイルの種類や形式を示すためのインターネット標準です。MIMEタイプは、Webサーバやブラウザーなどのアプリケーションが、受信したデータを適切に処理するために使用されます。
具体的には、MIMEタイプはファイルのコンテンツの種類やフォーマットを識別します。例えば、テキストファイル、画像ファイル、音声ファイル、動画ファイルなど、さまざまな種類のファイルがあります。また、HTML文書、CSSスタイルシート、JavaScriptファイルなどのウェブ関連のファイル形式もMIMEタイプで識別されます。
MIMEタイプは通常、データのContent-Typeヘッダーに含まれており、受信側のアプリケーションが適切な処理を行うための情報を提供します。例えば、Webブラウザーは、受信したデータがHTML文書である場合、それを解釈して表示します。また、メールクライアントは、受信したデータが画像ファイルである場合、それを表示するための適切な処理を行います。
MIMEタイプは、インターネット上の情報交換における重要な役割を果たしており、データの適切な処理と安全性を確保する上で不可欠な要素です。

ファイルサイズの制限しているか？

アップロード可能なファイルのサイズを制限することで、大容量のファイルや悪意のあるファイルのアップロードを防止します。適切なファイルサイズの制限を設定することで、サーバの負荷を軽減し、サイトのパフォーマンスを維持します。

まとめ

EC-CUBEのセキュリティを向上させるためには、公開ディレクトリに機密情報や重要なファイルが誤って配置されていないか、そして適切なアクセス制限が行われているかを常に確認することが重要です。さらに、ファイルのMIMEタイプの検証やアップロード可能な拡張子やファイルの制限設定などのセキュリティ対策も怠らないようにしましょう。これらの対策を実施することで、EC-CUBEのセキュリティを強化し、顧客データや機密情報を保護し、安全なオンライン環境を確保することができます。