公開した HTTPS サイトは「即」スキャンされる前提で準備する
証明書を発行した時点で Certificate Transparency（CT）ログにホスト名が公開され、攻撃者のスキャナはそれを監視している。ドメイン設定・証明書発行の前に認証やアクセス制限を済ませる。
何が起きるか
- 外部からアクセス可能な HTTPS サイトは、ドメイン設定後すぐに攻撃（管理画面探索、既知脆弱性スキャン、
.env・.gitの取得試行など）を受ける（@ku_suke の記事）。 - WordPress をセットアップ途中で放置するとインストーラを第三者に乗っ取られる危険もある（@seltzer）。
手順
- 証明書発行の前に、アプリ側の認証・Basic 認証・IP 制限を有効にしておく。
- ステージングや検証環境は Cloudflare Access / Tailscale / IAP など認証付きの経路でのみ公開。
- 公開ディレクトリに
.env、.git/、バックアップファイルを置かない。 - 内部用サブドメインは個別証明書ではなくワイルドカード証明書にすると CT ログにホスト名が載らない（ホスト名秘匿は防御の本筋ではないが、露出を減らせる）。
- 公開直後のアクセスログを確認し、何が狙われるかを把握する。