本文へスキップ
お問い合わせ

SECURITY

セキュリティ

「安全に使い続けられること」を、後付けではなく設計の前提に置く——それが Container のセキュリティに対する考え方です。
権限管理・バックアップ・承認フロー・通信暗号化など、サイト運用を守る機能を標準で備えています。

DESIGN PHILOSOPHY

Container のセキュリティ設計思想

多くの CMS がプラグインでセキュリティを後から補強するのに対し、Container は最初から安全であることを目指して設計されています。
認証・権限制御・入力検証・バックアップをコア機能として組み込み、構造的なリスクを最小化しています。

プラグイン依存ゼロによる攻撃面の削減

WordPress でセキュリティ事故の大半を占めるのは、サードパーティ製プラグインの脆弱性です。
プラグインが多いほど攻撃者に狙われる箇所（攻撃面）が増え、すべてを最新に保つ運用負荷も高まります。

Container はパッケージ CMS として設計されており、サイト運用に必要な機能を標準で搭載しています。
外部プラグインに頼る構造をとらないため、プラグイン起因の脆弱性が発生する構造的な原因がありません。
セキュリティアップデートの適用範囲が CMS 本体のみに絞られ、管理が単純になります。

お客様サーバーへのインストール型・データは自社管理

SaaS 型 CMS はベンダーのクラウドにデータを預ける形になりますが、Container はお客様が用意したサーバー（VPS・クラウド・オンプレミス）に直接インストールします。
コンテンツもデータベースも、お客様自身のインフラ上に存在します。

これにより、情報の所在と管理責任が明確になり、サーバーレベルのアクセス制御やファイアウォール設定をそのまま CMS に適用できます。
「どこに何が保存されているか」を完全に把握・統制できるのは、機密性の高い情報を扱う組織には大きな強みではないだろうか。

継続的なアップデートと脆弱性対応

Container は継続的なバージョンアップを行い、新たに発見された脆弱性への対応や PHP バージョンへの追従を続けています。
コアパッケージが一元管理されているため、WordPress のように「コア本体・テーマ・プラグインをそれぞれ別々にアップデートする」複雑な更新作業が不要です。

高度化する脅威への備え

近年は、巧妙化したなりすましメールや、自動化された総当たり攻撃・脆弱性の探索など、攻撃の手口が急速に高度化しています。
パスワードだけに頼った認証は、もはや十分な守りとは言えなくなってきました。

Container は、こうした変化に合わせて防御の層を厚くしています。
フィッシングに強いパスキー（生体認証・端末認証）でのログイン、二段階認証、管理画面の操作をすべて記録する監査ログ、ログイン中の端末の把握と遮断——「パスワードが破られても、その先で止める」多層防御を標準で用意しました。
攻撃側が進化するなら、守る側も同じだけ進化しておくべきだと考えています。

SECURITY FEATURES

セキュリティ機能一覧

Container が標準で備えるセキュリティ機能を紹介します。
追加のプラグイン購入や外部サービス契約なしに、これらをすぐに使い始められます。

  • 01

    ユーザー・グループ権限管理

    ユーザーをグループに分け、メニュー単位・ディレクトリ（フォルダ）単位で操作できる範囲を細かく制御します。「A支店の担当者はA支店のページしか編集できない」といった運用が可能です。担当外への誤操作・不正アクセスを構造的に防ぎます。

  • 02

    ログイン保護・二段階認証

    ログイン失敗が続いた場合に、そのアカウントを一時的にロックするブルートフォース対策を備えます。また、二段階認証（メールで届くワンタイムパスワード）にも対応しており、パスワードが漏洩しても不正ログインを防ぐ多重防御を実現します。パスワード設定時には、過去に漏洩が確認されたパスワードの使用を防ぐチェックも行えます。

  • 03

    CSRF対策（トークン検証）

    管理画面の全フォーム送信にCSRFトークンを付与し、サーバー側で検証します。外部サイトから偽造したリクエストを送りつけて操作を乗っ取るCSRF（クロスサイトリクエストフォージェリ）攻撃を防ぎます。

  • 04

    SQLインジェクション対策

    データベースへのクエリはすべてプレースホルダ（プリペアドステートメント）を使用して実行します。ユーザーからの入力値が直接SQLに組み込まれることがなく、不正なSQLを注入してデータを盗む・改ざんするSQLインジェクション攻撃を防ぎます。

  • 05

    XSS対策（出力エスケープ）

    管理画面・フロントエンドともに、ユーザーの入力データを画面に出力する際は適切なHTMLエスケープ処理を行います。悪意あるスクリプトをページに埋め込んで他のユーザーのブラウザで実行させるXSS（クロスサイトスクリプティング）攻撃を防ぎます。

  • 06

    HTTPS必須・独自SSL対応

    Container の動作はHTTPSを前提としており、管理画面へのアクセスも暗号化通信で行われます。Let's Encrypt などの無料SSL証明書から商用証明書まで、サーバーにインストールしたSSL証明書をそのまま利用できます。通信経路上でのデータの盗聴・改ざんを防ぎます。

  • 07

    データベース・ファイルバックアップ

    管理画面からデータベース（MySQL）とファイル一式の両方をバックアップできます。手動ダウンロードに加え、cronプラグインと組み合わせることで毎日・毎週などのスケジュールによる自動バックアップも設定可能です。万が一の障害・誤操作の際も迅速に復元できます。

  • 08

    公開前承認フロー

    コンテンツの公開前に担当者が申請し、承認者が確認してから公開する承認フローを標準装備しています。誤った内容が承認なく公開されるリスクを防ぐとともに、「誰がいつ申請・承認したか」の履歴も記録します。コンプライアンスの観点でも有効です。

  • 09

    アクセス解析のIP暗号化

    標準のアクセス解析機能では、訪問者のIPアドレスをハッシュ化（暗号化）して保存します。集計・分析には使用しつつ、個人を特定できる形では保持しない設計です。個人情報保護法や各種プライバシー規制への対応を補助します。

  • 10

    編集ロック（同時編集防止）

    複数のユーザーが同一のコンテンツを同時に編集すると、一方の変更が上書きされて消える事故が起きます。Container の編集ロック機能は、誰かが編集中のページに別のユーザーがアクセスしようとすると警告を表示し、意図しない上書きを防ぎます。

  • 11

    パスキー（生体認証・端末認証）ログイン

    指紋・顔認証や端末のロック解除でログインできるパスキー（WebAuthn）に対応します。パスワードを入力しないため、偽サイトに誘導して認証情報を盗むフィッシング攻撃に構造的に強く、パスワード漏洩・使い回しのリスクそのものをなくせます。端末ごとに登録でき、管理者はサイト全体での利用可否を切り替えられます。

  • 12

    操作監査ログ

    管理画面で行われた登録・更新・削除の操作を記録し、「誰が・いつ・どのデータを・どう変更したか」を後から追跡できます。不正な操作や誤操作の原因究明、社内のコンプライアンス・内部統制の観点で役立ちます。パスワードなどの機微な情報は記録時に自動でマスクされます。

  • 13

    ログインセッション管理・端末の強制ログアウト

    現在ログイン中の端末を一覧で確認できます。身に覚えのない端末や、退職者・紛失した端末からのログインを見つけたら、その場で強制的にログアウトさせられます。アカウント乗っ取りが疑われる際の、即時の遮断手段になります。

  • 14

    管理画面のアクセスIP制限

    管理画面へアクセスできるIPアドレスを、CMSの標準機能として許可リストで限定できます。社内やVPN経由のアクセスのみを許可するといった運用が、サーバー設定を触らずに管理画面から設定可能です。外部からの不正アクセスの試み自体を入口で遮断します。

  • 15

    アップロードファイルの検査・無害化

    アップロードされた画像やファイルを検査し、不正なスクリプトを埋め込んだSVG画像などを自動で無害化します。加えて、サーバーにウイルス対策ソフトを導入している環境では、アップロード時のウイルススキャンと連携させることもできます。ファイル経由の攻撃を持ち込ませません。

  • 16

    セキュリティヘッダによる通信・表示の保護

    通信の暗号化（HTTPS）をブラウザ側に強制する仕組みや、ページ上で許可されていないスクリプトの実行を制限する仕組みなど、標準的なセキュリティヘッダに対応します。中間者攻撃やクロスサイトスクリプティングへの防御を、ブラウザと連携して一段強化します。

  • 17

    ページキャッシュによる高負荷対策

    アクセスが集中しても、生成済みのページを一定時間キャッシュして高速に返す仕組みを備えています。同一ページへの連続アクセスのたびに重い処理を繰り返さないため、急なアクセス増加によるサーバー負荷の上昇やタイムアウト（504エラー）を防ぎます。コンテンツを更新すると該当ページのキャッシュは自動的にクリアされ、古い内容が表示され続ける心配もありません。

  • 18

    早期アクセスゲート（不審なアクセスの遮断）

    特定のIPアドレスやブラウザから短時間に大量のアクセスが送られた場合、その接続元からのアクセスを自動的に制限します。ボットによる過剰なアクセスや、サーバーに負荷をかけて機能を停止させようとする攻撃（DoS攻撃）を、被害が広がる前の入口で防ぎます。制限状況は管理画面から確認・解除でき、必要に応じて特定の接続元をブロックリストに追加することもできます。

VS WORDPRESS

WordPress と比べたセキュリティの優位性

WordPress は世界シェアNo.1の CMS ですが、その普及率ゆえに攻撃者から集中的に狙われています。
Container は設計の段階から、WordPress が抱えるセキュリティリスクを回避する選択をしています。

  • 01

    プラグインの脆弱性ゼロリスク

    WordPress のセキュリティ事故の大半は、サードパーティ製プラグインの脆弱性に起因します。プラグインが多くなるほどリスクは高まり、更新を忘れた瞬間に攻撃の入口となります。Container はサイト運用に必要な機能をパッケージとして内包しており、外部プラグインへの依存がありません。そのため、プラグイン起因の脆弱性リスクが構造的に存在しません。

  • 02

    管理URLの変更・不要ファイルの不在

    WordPress の管理画面は /wp-admin/ という固定URLで公開されており、攻撃者はこのURLを狙って自動的にブルートフォース攻撃を仕掛けます。Container は管理画面のURLが異なり、WordPressを前提とした自動攻撃ツールが機能しません。また、wp-config.php や xmlrpc.php といったWordPressに固有の攻撃標的ファイルも存在しません。

  • 03

    コアとプラグインの混在なし・更新管理が単純

    WordPress では「コア本体・テーマ・プラグイン」を別々に更新管理する必要があります。それぞれの互換性を確認しながら更新を重ねる運用は複雑で、更新漏れが生じやすい構造です。Container はコアパッケージとして一元管理されているため、更新の対象が明確で、適用作業がシンプルです。セキュリティパッチの適用漏れが起きにくい構造です。

  • 04

    攻撃者のターゲットになりにくい

    WordPress は世界中に数億サイトが存在するため、脆弱性が発見されると即座に大規模な自動攻撃が展開されます。Container はシェアが限られた国産パッケージCMSであり、汎用的な WordPress 攻撃ツールはそのままでは機能しません。これは「セキュリティ・バイ・オブスキュリティ」に頼るものではなく、設計上の堅牢さを補完する要素です。

セキュリティに関するよくある質問