Web Design Leaves

Options -Indexes

<IfModule mod_headers.c>
  # MIME スニッフィング対策
  Header set X-Content-Type-Options "nosniff"

  # iframe 埋め込み制限（クリックジャッキング防止）
  # 古いブラウザ対応が必要なら以下のコメントアウトを外す
  # Header always set X-Frame-Options "SAMEORIGIN"

  # iframe 埋め込み制限（推奨）Content-Security-Policy（CSP）
  Header set Content-Security-Policy "frame-ancestors 'self';"

  # HTTPS 強制（HSTS） ※ HTTPS に未対応のサイトには絶対に設定しないこと（）
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

  # X-Powered-By の削除（サーバーやPHPのバージョン情報などを隠す）
  Header unset X-Powered-By
</IfModule>

<IfModule mod_expires.c>
  ExpiresActive On
  ExpiresDefault "access plus 1 day"

  # 適切なキャッシュ期間はサイトごとに異なるため、適宜変更してください。

  # HTML は短め
  ExpiresByType text/html "access plus 1 minute"

  # 画像
  ExpiresByType image/jpg  "access plus 1 year"
  ExpiresByType image/jpeg  "access plus 1 year"
  ExpiresByType image/gif  "access plus 1 year"
  ExpiresByType image/png  "access plus 1 year"
  ExpiresByType image/webp "access plus 1 year"
  ExpiresByType image/svg+xml "access plus 1 year"
  ExpiresByType image/x-icon  "access plus 1 year"

  # CSS
  ExpiresByType text/css  "access plus 1 year"

  # JavaScript
  ExpiresByType application/javascript  "access plus 1 year"
  ExpiresByType text/javascript  "access plus 1 year"

  # PDF
  ExpiresByType application/pdf  "access plus 1 year"

  # フォント（最新のMIME形式）
  ExpiresByType font/woff2 "access plus 1 year"
  ExpiresByType font/woff "access plus 1 year"
  ExpiresByType font/ttf "access plus 1 year"
  ExpiresByType font/otf "access plus 1 year"
  ExpiresByType font/eot "access plus 1 year"
</IfModule>

<Files "wp-login.php">
  <RequireAll>
    Require all denied
    Require ip xxx.xxx.xxx.xxx
  </RequireAll>
</Files>

<Files wp-login.php>
  AuthType Basic
  AuthName "Restricted Area"
  AuthUserFile /full/path/to/.htpasswd
  Require valid-user
</Files>

function safe_update_user_nicename_on_init() {
  $user_id = 1; // 対象ユーザーID
  $new_nicename = 'foo-public'; // 新しい user_nicename ※ 実際にはユーザー名が推測されにくい名前にします。

  $slug = sanitize_title_with_dashes($new_nicename);

  // すでに同じスラッグが使われていないか確認
  $existing_user = get_user_by('slug', $slug);
  if ($existing_user && $existing_user->ID != $user_id) {
    error_log('すでに使われているスラッグのため、更新を中止しました。');
    return;
  }

  // 更新
  $result = wp_update_user([
    'ID' => $user_id,
    'user_nicename' => $slug
  ]);

  if (is_wp_error($result)) {
    error_log('ユーザー更新に失敗しました: ' . $result->get_error_message());
  } else {
    error_log('ユーザーID ' . $user_id . ' の user_nicename を ' . $slug . ' に更新しました。');
  }
}
// 実行が完了したら以下の add_action() をコメントアウト
add_action('init', 'safe_update_user_nicename_on_init');

// REST API のエンドポイント定義を変更するためのフィルターを追加
add_filter('rest_endpoints', function ($endpoints) {

  // 対象とするエンドポイント（ユーザー一覧と個別ユーザー情報）
  foreach (['/wp/v2/users', '/wp/v2/users/(?P<id>[\d]+)'] as $route) {

    // 指定したエンドポイントが実際に存在しているか確認
    if (isset($endpoints[$route])) {

      // 該当ルートに定義された各エンドポイント（HTTP メソッド別）をループ処理（&$endpoint の & は参照渡し）
      foreach ($endpoints[$route] as &$endpoint) {

        // エンドポイントが配列形式で、permission_callback が定義されているか確認
        if (is_array($endpoint) && isset($endpoint['permission_callback'])) {

          // 元の permission_callback を変数に保持しておく（他のプラグインやコアの挙動を維持するため）
          $original_callback = $endpoint['permission_callback'];

          // 新しい permission_callback を定義（ログイン済みかつ、元の判定も通過する必要あり）
          $endpoint['permission_callback'] = function ($request) use ($original_callback) {
            // is_user_logged_in() が true かつ、元の permission_callback も true を返す場合のみ許可
            return is_user_logged_in() && call_user_func($original_callback, $request);
          };
        }
      }
    }
  }
  // 変更を加えたエンドポイント情報を返す
  return $endpoints;
});

# ディレクトリリスティング（ファイル一覧の表示）無効化
Options -Indexes

# --------------------------------------------------
# wp-config.php, .htaccess 自身, xmlrpc.php へのアクセス制限
# --------------------------------------------------
<FilesMatch "^(wp-config\.php|\.htaccess|xmlrpc\.php)$">
  Require all denied
</FilesMatch>

# --------------------------------------------------
# readme.html, license.txt など WordPress 情報漏洩対策
# --------------------------------------------------
<FilesMatch "^(readme\.html|license\.txt)$">
  Require all denied
</FilesMatch>

# --------------------------------------------------
# wp-admin/includes や wp-includes 配下のファイルに対する不正アクセスを遮断
# --------------------------------------------------
<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteBase /
  RewriteRule ^wp-admin/includes/ - [F,L]
  RewriteRule !^wp-includes/ - [S=3]
  RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
  RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
  RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>

# --------------------------------------------------
# バックアップファイルや一時ファイルのアクセス制限
# --------------------------------------------------
<FilesMatch "\.(bak|old|sql|tar\.gz|zip)$">
  Require all denied
</FilesMatch>

# --------------------------------------------------
# セキュリティ HTTP ヘッダー設定
# --------------------------------------------------
<IfModule mod_headers.c>
  # MIME スニッフィング対策
  Header set X-Content-Type-Options "nosniff"

  # Content-Security-Policy（iframe 埋め込み制限、object 要素の読み込み禁止、base タグの外部ドメイン設定防止、form の送信先を同一オリジンに限定）
  Header set Content-Security-Policy "frame-ancestors 'self'; object-src 'none'; base-uri 'self'; form-action 'self';"

  # HTTPS を強制する場合は以下のコメントを外す ※ HTTPS に未対応のサイトには絶対に設定しないこと
  # Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

  # X-Powered-By の削除（サーバーやPHPのバージョン情報などを隠す）
  Header unset X-Powered-By
</IfModule>

# --------------------------------------------------
# キャッシュ設定（キャッシュ期間は、サイトの構成や運用ポリシーにより調整）
# --------------------------------------------------
<IfModule mod_expires.c>
  ExpiresActive On
  ExpiresDefault "access plus 1 day"

  # HTML は短め
  ExpiresByType text/html "access plus 1 minute"

  # 画像
  ExpiresByType image/jpg  "access plus 1 year"
  ExpiresByType image/jpeg  "access plus 1 year"
  ExpiresByType image/gif  "access plus 1 year"
  ExpiresByType image/png  "access plus 1 year"
  ExpiresByType image/webp "access plus 1 year"
  ExpiresByType image/svg+xml "access plus 1 year"
  ExpiresByType image/x-icon  "access plus 1 year"

  # CSS
  ExpiresByType text/css  "access plus 1 year"

  # JavaScript
  ExpiresByType application/javascript  "access plus 1 year"
  ExpiresByType text/javascript  "access plus 1 year"

  # PDF
  ExpiresByType application/pdf  "access plus 1 year"

  # フォント（最新のMIME形式）
  ExpiresByType font/woff2 "access plus 1 year"
  ExpiresByType font/woff "access plus 1 year"
  ExpiresByType font/ttf "access plus 1 year"
  ExpiresByType font/otf "access plus 1 year"
  ExpiresByType font/eot "access plus 1 year"
</IfModule>

/* head 内の不要なタグを削除 */

// WordPress バージョン情報を削除（攻撃者にバージョンを知らせない）
remove_action( 'wp_head', 'wp_generator' );

// RSS フィードや REST API に含まれる「generator」情報（WordPress のバージョン情報など）を削除
add_filter( 'the_generator', '__return_empty_string' );

// XML-RPC 機能を使用していない場合は、エンドポイント自動検出用タグ（rsd_link）を削除
remove_action( 'wp_head', 'rsd_link' );

// Windows Live Writer 用のリンクタグ（wlwmanifest_link）を削除（現在はほとんど使用されていない）
remove_action( 'wp_head', 'wlwmanifest_link' );

// 短縮URL（shortlink）のリンクタグを削除（使っていなければ不要）
remove_action( 'wp_head', 'wp_shortlink_wp_head' );

// REST API のエンドポイント URL を明示する head 内のタグを削除（REST API 自体は機能します）
remove_action( 'wp_head', 'rest_output_link_wp_head' );

// HTTP レスポンスヘッダーに追加される REST API エンドポイント情報も削除（REST API 自体は問題なく動作します）
remove_action( 'template_redirect', 'rest_output_link_header', 11 );

// 絵文字関連（JSとCSS）を削除
remove_action('wp_head', 'print_emoji_detection_script', 7);
remove_action('wp_print_styles', 'print_emoji_styles');
// admin 側も削除
remove_action( 'admin_print_scripts', 'print_emoji_detection_script' );
remove_action( 'admin_print_styles', 'print_emoji_styles' );

// CDN 上の SVG 絵文字画像（Twemoji）の読み込みを削除
add_filter( 'emoji_svg_url', '__return_false' );