ワードプレスのセキュリティ対策できてますか？
ワードプレスは誰でも簡単にサイトを立ち上げられる神ツールではありますが、デフォルトのままではセキュリティがとても弱いことでも有名です。
昨今は悪質な不正アクセス被害の話もよく聞きます。被害に遭ってからは遅いので事前の自己防衛が大切です。
不正アクセスを防ぐのは難しくありません。
今回はブログ運営がはじめてでもできる、簡単な事前対策をシェアします！
WordPressの不正アクセス対策はマスト
WordPressは初期設定のまま使うと、非常にセキュリティが弱く危険です。
ワードプレスのデフォルトでは、管理画面のログインページは以下のように設定されます。
ブログURLの末尾に/wp-adminまたは/wp-login.phpをつけると誰でもログインページに辿り着けてしまうわけです。
もちろんユーザー名とパスワードの入力が必要なのでログインページに入れたところで、誰でもログインできるわけではありませんが、実はデフォルトの状態ではユーザー名は簡単に分かってしまうのです。（URL末尾に/?author=1をつけるとユーザー名が表示される）
パスワードも総当たり攻撃でハッカーは簡単にこじ開けることができるのです。
もう鍵はかかってないも同然！
不正アクセスされると、サイトを改ざんされたり、情報を盗られたりという危険があります。
そうするとサイトの復旧に時間が掛かったり、不正にアクセスするための手段を特定できない場合はサイトを破棄しなければなりません。
せっかく手塩をかけて育てたブログを破棄しなくてはいけないなんてつらすぎますよね。
そこで今回は、初期設定の甘々セキュリティを変更して不正ログインを防止するこの方法を紹介します。
- ログインURLの変更
- wp-adminアクセス時404リダイレクト
- ログインページで日本語文字認証の導入
- ユーザー名の漏えい防止
この４点の対策がSiteGuard WP Pluginというプラグイン１つで可能！
ぜひ導入しましょう！
プラグインSiteGuard WP Pluginの設定方法
ではさっそくプラグインを入れていきましょう！
プラグインのインストール
まずはSiteGuard WP Pluginのインストールです。
プラグインの新規追加から「SiteGuard WP Plugin」を検索し、インストール＆有効化します。
SiteGuardを有効化した時点でログインURLが変更されます。
新URLをブックマークし忘れると後々ログインできなくなってしまうので、管理画面は閉じずに設定を続けて行いましょう！
ログインURLの変更＆リダイレクト
プラグインのインストールが完了したら、さっそく設定に移ります。
インストール有効化した時点でログインURLが自動で設定されますが、さらにセキュリティ強化のため自分でURLを設定します。
ではサイドバーからSiteGuardをクリックし、まずはダッシュボードへ
ログインページ変更をクリックします。
プラグインの初期設定では「login_<5桁の乱数>」になっていますが、お好みの名前に変更することができます。
デフォルトのままでもいいのですが、より特定されにくくするには自分でログインページを変えたほうがよいですね。
ここで決めたURLは必ずブックマークするなり保管しておきましょう。
そして、オプションの管理者ページからログインページへリダイレクトしない、にチェックを入れます。
この設定をすることで、/wp-adminまたは/wp-login.phpのURLを入力すると404リダイレクト画面が表示されるようになります。
404リダイレクトとはページが存在しない場合に表示される画面です。
こんな感じです↓
変更を保存、をクリックしてこの作業は完了です！
ログインページで日本語文字認証の導入
日本語文字認証とは、ログイン画面でユーザー名とパスワードに加えて毎回変化する日本語文字を入力する欄を増やして、ログインのハードルを上げることです。
管理画面のURL変更、リダイレクト設定だけでもセキュリティ強度は格段にアップしていますが、せっかくなのでさらに強度をあげる設定をしましょう。
不正アクセスは、ほとんどが海外からされています。
日本語文字認証を追加することで、海外の不正アクセスを防げます。
「ユーザー名漏えい防御」をONにしてそのままの設定で変更を保存、で完了です。
Xserverを利用していればデフォルトで海外から管理画面にアクセスできないようになっていますが、海外旅行や移住した先でもブログ更新したい場合は不便ですよね。
サーバー側で海外からのアクセス許可をしてもログインURL変更と日本語認証のWガードで、かなりセキュリティを保てます。
その他の設定
そのほかの設定に関しては、基本的にはSiteGuardのデフォルトのままでOKです。
ただ、通知系は人によってはうっとうしいと感じるかもしれませんのでお好みでOFFにしましょう。
