WPをSSL化したところ、アクセスエラーが多発しています。

Question

初心者です。会社で依頼されてネットで調べつつWordPressを改築中です。少し前にhttp://example.com/wp　
をSSL化しました。ところが数日してアクセス解析を見たところ、アクセスエラーが多発（？）しているようで、慌てています。phpの知識はありません。

現象

お名前ドットコムでレンタルサーバーを利用、WPテーマはLightning（無料）を使用しています。
SSL設定をし、こちらで教えていただきながらリダイレクトを設置しました。
.htaccessの記述は以下です。

RewriteEngine On
RewriteCond %{HTTPS} !on
RewriteRule ^(.*)$ https://example.com%{REQUEST_URI} [R=301,L]

数日してサーバーのアクセス解析を見た所、HP上存在しないはずのファイル（…admin-ajax.phpや…wp-admin/css/など）や削除したはずのページにアクセスが多くあり、404エラーが多発しているように見えます。
SSL化前にも多少はありましたが、現在は半分以上がその状態です。何が原因でしょうか？

試したこと

・キャッシュやクッキー削除、再起動など。
・wp-configなど触った時の記述間違い確認。
・記述を、よく見かける一般的なもの（？）に変えてみた所（以下）、500エラーになり1時間ほどしても変わらず。元の記述に戻したところ、すぐに正常化しました。

<IfModule mod_rewrite.c>　　　　　　　　　　　　　　　　　　　　　　　
RewriteEngine On
RewriteCond %{HTTPS} !on　　　　　　　　　　　　　　　　　　　
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
</IfModule>　

・パーミッション確認（604）
・他に心当たりとしては.htaccessファイルが2つあるのですが、これが問題でしょうか。
（WPファイルと同じ階層と、WP直下にあります。そのうちリダイレクトを書き込んだのは上の階層だけです）
・また、データベースを書き換える際に誤って違うデータベースを書き込んでしまったり、時間がかかったためその時のキャッシュが残っていたりするのでしょうか？
・もう一度、今度は下記のように記述した所、大丈夫でした。

RewriteEngine On
RewriteCond %{HTTPS} !on
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

したいこと

エラーが多発しているならば、無事HPが見れるようにしたいです。

環境など

Windows10、WPバージョン6.0、Lightningバージョン14.22.1、PHPバージョン7.4.21

まったく見当違いな事を言っているかもしれません、ほかに必要な情報がありましたら教えていただければと思います。
よろしくお願いします。

Answer 1

数日してサーバーのアクセス解析を見た所、HP上存在しないはずのファイル（…admin-ajax.phpや…wp-admin/css/など）や削除したはずのページにアクセスが多くあり、404エラーが多発しているように見えます。
SSL化前にも多少はありましたが、現在は半分以上がその状態です。何が原因でしょうか？

HTTPS化前より増えた理由は分かりませんが、存在しないファイルへのアクセスはほぼ全て悪意のあるアクセス（WordPressの脆弱性を突いて乗っ取ることが目的）なので、エラー自体は気にしなくて大丈夫です。（「正しくエラーが出ている」と考えるのが妥当です。）

セキュリティ対策は地道にやるしかありませんが、会社で使用しているということであれば、
クラウド型のWAFを導入するのが費用対効果の高い方法の一つですね。

Comments

[BaBett]

ご回答ありがとうございます。そうなのですか！ですと、SSL化の際のドタバタでサーバーが無防備になってしまった可能性が考えられるでしょうか。一時のものだといいのですが。。

自分の書き方がおかしいのではないかという疑問がぬぐえないのですが。。

[tanat]

> ですと、SSL化の際のドタバタでサーバーが無防備になってしまった可能性が考えられるでしょうか

全体としては第三者からは何とも言えませんが、少なくとも「存在しないリソースへのアクセスに対して404が出る」というのは正しい挙動なので、それ自体は問題ありません。

> 一時のものだといいのですが。。

不正なアクセスはWAFやOSのファイアウォールでブロックしない限りは延々とあり続けるのが普通なので、
何もしなければ今の状況はあんまり変わらないと思いますよ。

> 自分の書き方がおかしいのではないかという疑問がぬぐえないのですが。。

これは基準を決めて、納得できるまでテストするしかないですね。
前述の通り、存在しないリソースへのアクセスに対するエラー自体はは正しいものです。
漠然とした不安が残るのは理解できますが、その辺を全て解決しようと思ったらTeratail等の質問サイトでのやり取りでは不可能なので、プロに仕事として依頼をすることをお勧めします。

（回答に記述したクラウド型のWAFを設置した場合は、多くの不正なアクセスはWEBサーバまでたどり着かなくなるので、エラーログも大幅に減るとは思います）

[tanat]

完全な勘と推測ですが、
HTTPS化後にエラーが増えた理由としては
1. HTTPS化前も同じだけアクセスはあった
2. HTTPS化していない状態ではそのアクセスを記録することも出来ない
3. HTTPS化後は今まで記録できていなかったアクセスが記録できるようになった
という可能性がありますね

[BaBett]

ご回答ありがとうございました！とりあえず、見に来てくれた方が困っているのではなく正常な挙動ということで、少し安心いたしました。
知らないことばかりでしたが、何となく状況が分かってきました。クラウド型のWAF、一度提案してみます。漠然とした質問に対してご親切にありがとうございました！