挙げられている対策について、現在(2016年時点)の有効性を記載しているものです。今でも参考にされている方が多い記事なので(2015年末に問い合わせが来たり)、挙げられている項目がどういうものかの理解の一助になればと思います。侵入された後の被害軽減策。侵入された「後」の軽減策WordPressをインストールする場合、現在のWordPressではインストール画面でデータベースのテーブルのプレフィックス(接頭辞)を変更することができます。(侵入された後の対策より、侵入される前の対策をしたほうがよい)。インストール時であれば変更は手軽にできるので、しておいてもよいと思います。「Akismet」はWordPress開発元のAutomattic社が提供しているコメントスパムやトラックバックスパムを防止するプラグインです。必須でないケースもありますが、コメントやトラックバックを受け付けるサイトを運用している場合、このプラグインを用いてスパム対策を行うことは価値が高いです。下記のように必要が無い(標準の設定で事足りる)場合もあります。現在は初期状態でも可SALTはWordPressのパスワードをデータベースに保管する前に行われる「ハッシュ」(「ぐちゃぐちゃにする」の意味。パスワードをそのまま保管せず、判別不能な文字列に変換する)に使われるものです。(認証方式ではないはずです...)パスワードとソルトを合わせてハッシュすると、パスワードだけでハッシュした時より安全性が高まります。アクセスするとソルトを含めた各種設定を毎回ランダムな値で生成してくれるため、このコードをwp-config.phpにコピーして利用することができます。場合は64文字のランダム文字列を生成し直す」ということをしていて(※)コピーしなくても同等の強度のセキュリティは確保されるので、よくわからない場合は変更しなくても構いません。ログイン画面にアクセス制限が掛けられない場合ログイン画面にアクセス制限(IPアドレス制限や、Basic認証などの別認証)を掛けるほうが優先度と価値が高い対策にはなりますが、制限が難しい場合のログイン画面強化という意味では「ログインを何回も失敗したらログイン自体を試せなくする」という機能を追加するのは価値があると思います。Pluginに同等の機能(ログインロック)があり、これを利用するとよいと思います。プラグインは不要パスワードチェックは現在のWordPressでは標準で提供されているため、プラグインを導入する必要はほとんどありません。WordPressのパスワードチェックで「強力」となるパスワードを設定するようにしてください。現在のWordPressではデフォルトのユーザー名はadminではなくインストール時に任意に設定できるので特に何かする必要はありません。ユーザー名はadminだったとしてもそうでなかったとしても、外部から簡単にわかります。付けるとユーザーID=1のユーザーの作成者アーカイブページにリダイレクトされ、URLにユーザー名が表示されるためです。(特別な対策をしていない場合)ユーザー名をどうにかするよりは、パスワードを強化するほうが価値が高い対策になります。(雑な攻撃スクリプトは本当にadminで攻撃を仕掛けてくるのでadminというユーザー名を避けるのはよいことです。アクセス制限することの効果」にある通り、優先度としては低い対策です。使用しているサーバーが共用のレンタルサーバーの場合、wp-config.phpのパーミッションを600(所有者しか読み書きできない設定)や400(所有者しか読み込みできない)にするのは自己防衛策としてはありです。基本的に設定されていないサーバーはほとんどない基本的には大手のレンタルサーバーでディレクトリ(フォルダ)やファイルの一覧が表示されてしまうことはほとんどないですが、設定されていなければしてください。元記事には「変更を行った特定のディレクトリの内のサブディレクトリへのアクセスを無効にします。-Indexes」はフォルダ内にあるファイルやフォルダの一覧表示がされないだけで、アクセス制限をするわけではありません。これをすれば重要なファイルをどこに置いておいてもよい、ということではありません。「パスワードチェック機能」と同様、標準機能で対応できます。他にわかる場所は何箇所もあるWordPressでは現在もHTMLソース上(<meta>タグ)にバージョン情報が記されるようになっていますが、「ハッカーに使用バージョンを知られてしまうとハッキングの脆弱性も増してしまう」のが本当に成り立つのは、「WordPressの古いバージョンを使っている時」です。本来は「WordPressを最新の状態に保つ」のが対策として必要なことで、バージョン情報を隠すことは根本的な対策というわけではありません。(「無駄なものが表示されたくない」というのはあると思いますが、別の問題だと思います)バージョン情報を隠したとしても、外部からバージョン情報を知る方法はまだ他にも下記のようなものがあります。5つの権限グループがあり、それぞれにできること(権限)が割り当てられています。複数人でサイト運営を行ったり、会員制のサイト運営を行うときは運用に合わせてどの権限グループにするか検討するのは大切なことです。管理画面のメニュー項目を標準の状態からカスタマイズするためのプラグインです。標準でも、権限によって適切にメニュー項目の表示非表示の切り替えがされます。サーバーの推奨値に適切なアクセス権(パーミッション)を設定することは必要なことですが、過剰に制限すると正常に動作しなくなったり運用が難しくなる場合があります。パーミッションはサーバーによって推奨されるものが違いますので、サーバーのマニュアル等を参照するとよいと思います。IPアドレス制限などができるとよいwp-adminの保護については、IPアドレスなどでのアクセス制限ができるようでしたらそちらが確実です。Pluginの「管理ページアクセス制限」というログインしていないユーザーにwp-adminのアクセス制限を掛ける機能があるので、そちらを利用するとよいです。重要バックアップは攻撃を受けた時の復旧に限らず、サーバーに何らかの障害が起こった場合の復旧などにとても重要です。WordPressには下記のような名の知れたバックアッププラグインがありますのでそちらを使用してもよいと思いますが、サーバー側でバックアップ機能が提供されていればそちらのほうがよりよいと思います。できないことが多いMySQLの権限については特にレンタルサーバーでは変更できないことが多いです(また、そもそもレンタルサーバーだとすでにある程度権限が制限されているので追加で制限する必要が無い場合が多い)。そもそも「推奨」とされているSELECT権限も不正に利用されればユーザーデータなどを取得されてしまいますし、DELETE権限が不正に利用されれば全テーブルのデータを削除することもできるので、MySQLの権限をどうにかするよりもまずは不正にSQLを実行されないよう対策をとったほうがよいです。HTTPSは可能であれば。ホスト会社は重要HTTPS(SSL)の使用は可能であればぜひ行ってください。通信が暗号化されるので、パスワードなどが漏洩する可能性を下げることができます。サーバー側のセキュリティを任せることになるため、ホスト会社(レンタルサーバー事業者)をよく調べて選ぶことも重要な事柄です。SSLを有効にするための証明書は基本的に有料ですが、無料で提供しているサーバーもあります。重要これは元記事通り非常に大切で、重要な事です。古いバージョンを使用しているということは、セキュリティに問題のある部分をそのままにしているということですので、最新の状態のソフトウェアを使用することを心掛けてください。WordPress本体やプラグイン、テーマのバージョンを最新の状態に保つ」も確認してみてください)最後にWordPressは日々便利な機能や安全性のための機能が追加されています。セキュリティのための対策も定期的に見直してみるとよいと思います。CSSPROわからない単語がある場合は下記が参考になるかもしれません。侵入を防ぐWordPressは全世界で使用されている有名なソフトウェアであることもあり、攻撃されやすいソフトウェアのひとつです。侵入のヒントを隠す侵入のヒントになり得る各種情報(ソフトウェアのバージョンなど)を隠すことはあまりよい対策とはされていないことが多いです。コメントをキャンセル内容の誤りなどがありましたら下記からご連絡をお願いします。頂いたコメントは基本的に公開されることはありません(必要な場合は個別に返信させて頂きます)。次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。上に表示された文字を入力してください。