平文FTPの使用をやめる｜通信経路からの認証情報漏洩の防止

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

Webサイトのファイルをサーバへ転送する際に平文FTPを使用すると、ユーザー名やパスワード、転送するデータなどが暗号化されずに通信される。通信を盗聴された場合、Webサーバへ接続するための認証情報が漏洩する可能性がある。

平文FTPを使用している場合は、SFTPやFTPSなど通信を暗号化できる方式へ移行する。

使用しているファイル転送方式を確認する

まず、Webサーバへの接続に使用している方式を確認する。

FileZillaなど一般にFTPソフトと呼ばれるソフトでも、必ずFTPで通信しているとは限らない。1つのソフトがFTP、FTPS、SFTPなど複数の方式に対応している場合があるため、ソフト名ではなく接続設定で使用している方式を確認する。

接続方式がFTPとなっており、通信を暗号化する設定も使用していない場合は、平文FTPからの移行を検討する。

SFTPとFTPSはいずれも通信を暗号化できるが、仕組みは異なる。

SFTPはFTPを暗号化したものではなく、FTPとは異なる仕組みのファイル転送方式である。FTPSはFTPにTLSによる暗号化を追加した方式となる。

SFTPとFTPSのどちらを利用するかは、使用しているホスティングサービスの対応状況を確認して判断する。平文FTPを使い続けるより、ホスティングサービスが正式に対応している暗号化方式へ移行することを優先する。

利用できるファイル転送方式は、ホスティングサービスによって異なる。

公式マニュアルやヘルプで「FTP」「SFTP」「FTPS」「SSH」などを検索し、対応している方式と接続方法を確認する。

サーバ管理画面にFTPアカウントやSSHなどの設定項目が用意されている場合は、そこから確認できることもある。ホスティングサービスが公開しているFTPソフトの設定方法も参考になる。

接続先のホスト名、ポート番号、ユーザー名なども方式によって異なる場合があるため、従来のFTP設定をそのまま流用せず、ホスティングサービスが指定する設定を使用する。

平文FTPから移行するために、必ずしも別のソフトへ変更する必要はない。

FileZilla、Cyberduck、WinSCPなど、複数のファイル転送方式に対応したソフトが利用できる。例えばCyberduckはFTP over TLSとSFTPに対応しており、WinSCPもFTP、FTPS、SFTPなどから接続方式を選択できる。

現在使用しているソフトがホスティングサービスの指定するSFTPやFTPSに対応していれば、接続設定を変更して利用してもよい。

ホスティングサービスによっては、ブラウザからサーバ上のファイルを操作できるファイルマネージャーが用意されている。

ファイルの修正や少数のファイルをアップロードする程度であれば、外部のファイル転送ソフトを使用せず、ファイルマネージャーで対応できる場合もある。

一方、大量のファイルを転送する場合や継続的にWebサイトを管理する場合は、専用のファイル転送ソフトのほうが扱いやすいこともある。用途に応じて使い分ける。

SFTPやFTPSなどへ移行した後は、新しい方式で正常に接続し、ファイルを転送できることを確認する。

FTPソフトに古い平文FTPの接続設定が保存されている場合は削除し、誤って使用しない状態にしておく。

ホスティングサービス側で平文FTPによる接続を無効化・制限できる場合は、その設定も検討する。