以前お話をいただいたお客様が、構築した制作会社から
「バージョンアップしないでください」と言われたという
ことでした(ちなみにVer.1の頃)。

そういった会社がどのくらいあるのかはわかりませんが、
脆弱性を放置されているサイトは結構あるんじゃないか
と思います。多分、そういうトコが先に狙われるんじゃ
ないかなぁと。そういうサイトの方はココ見てない気も
しますが…。

あと、「アクセス制限」は「Basic認証」のことかな？と
感じたんですが、Basic認証は強度的に弱かった気がします。
EC-CUBEへのログインID・パスワードと同じものをBasic認証にも
設定した場合、総合的に見てどうなるのかなぁ、と少し
思いました。Basic認証はほとんど使ったことないので
あんまり自信ないですが。アクセスされる前に蹴るのは
賛成です、念の為。


セキュリティは「これだけやっとけばOK」というのがないかと
思いますが、取り急ぎ、管理画面のテンプレートにはデフォルトで

<meta name='robots' content='noindex,nofollow' />

あたり入れといた方がいいのかな、と思いました。