サイト構築関連ワードプレスでのサイト運営を始めて、いくつか記事も書き、アフィリエイトやAdSenceの数値に日々一喜一憂していることだと思う。あなたは、ワードプレスのセキュリティ対策について考えたことがあっただろうか。偉そうなことを言っている場合ではない。私こそが、セキュリティにノータッチでサイト運営を進めていた張本人だ。AdSenseに合格するとそれだけで大丈夫、みたいな気にはなるよね~幸いにも、つい最近Twitterで「あなたのサイト見たけどこんな運営していて大丈夫?」(意訳)という連絡をいただき、さらにその概要まで教えていただいた。その後自分でも調べたところ、非常にマズい状態であることに気が付いた。ベテランのブロガーさんは、すでに対応済だと思うけど、私がちらちら見たところ、この設定をしていないサイトはまだ多い。「まだ何の対策もしてないわ」という方は、この機会にぜひセキュリティ対策について考えてみて欲しい。rebuildeSiteGuardその他のセキュリティ対策プラグインJetpack問い合わせフォームからのスパムの投稿対策セキュリティ対策を終えてワードプレスにはどんなリスクがあるのか?ワードプレスのように世界中の人が使うツールは、様々な攻撃の標的になりやすい。IDやパスワードを解析してサイトを乗っ取ったり、ウイルスを仕込んだりする人もいる。情報を抜き取って販売したり、悪質なメールをばらまいたりする人もいる。誰もが無料で簡単に扱える「ワードプレス」だからこそ、セキュリティ対策がとても重要だったのだ。情報を取り扱うサイトはリスクはつきものだが、銀行やショッピングサイトなどは、ログインするPCやスマホを認識する機能がついていたり、2段階認証が必要だったり、ログイン連絡が来たりする。初期設定のままのワードプレスには、セキュリティ面でのリスクが高い。それではどんなリスクがあるのか具体的に紹介していこう。ログインIDが簡単にわかるまず1つ目の問題は、ログインIDが簡単にわかるという、非常に重要な問題だ。個人で運用している場合も、複数で運用している場合もわかってしまう。ワードプレス導入時に、ユーザ登録画面で「ニックネーム登録」や「ブログ上の表示名」をID以外の名前で登録している方は、比較的ページ内に表示される心配がないが、登録していない場合は記事の上部にID表示されていることがある。「ブログ上の表示名」を再確認しよう。ページ内に表示されなくても、自身のワードプレスのサイトURL末尾に「/?author=1」を付けて開くと、「ニックネーム」一覧ページにリダイレクトされる。(ちなみにユーザが複数いる場合は、数字の「1」部分を変更すると別のIDが表示される。)https://サイトURL/author/●●●/このようなURLにリダイレクトされ、●●部分がIDになるのだ。このページは、管理者ページ、投稿者アーカイブ、投稿者ページといろいろな名前で呼ばれているが、ここでは「管理者ページ」としておく。「管理者ページ」でログインIDが簡単に手に入れば、あとはパスワードを解析するだけでよい。サイトが乗っ取られる可能性は高くなり大変危険⚠だ。ログインページがすぐわかる2つ目の問題は、ワードプレスのサイトURL末尾に「/wp-login.php」を付けるとログインページとなることである。ワードプレス共通の仕様と言える。これはこれで便利だと思う人もいるかもしれないが、悪意のある人にとっては好都合、乗っ取りしやすい作りでしかない。銀行やショッピングサイトなどの入り口であれば、広く周知される必要があるが、個人のサイトの入り口などは、見えなければ乗っ取られる可能性は下がる。できればログインページも個別に用意する方がよい。どんなセキュリティ対策をすればよいのかでは、ワードプレスサイトにおけるリスクがわかったところで、どんなセキュリティ対策をすればよいだろのか。忙しい人も多いので簡単な順に並べてみた。プラグインインストールの際は念のためバックアップを取った方が良い。大切なデータが消えてしまうこともあるので。パスワードを変更するレベル1は、すぐにでも実行できるセキュリティ対策だ。IDがばれていても、パスワードが分かりにくければ、攻撃対象にはなりにくい。パスワードを複雑にするというのは対策としては一番簡単だ。定期的にパスワードを変えるというのも金融系サイトなどでよく言われている。今は時間がないという方には、まずはこちらをお勧めする。管理者ページのURLを無効にするレベル2は、とにかく管理者ページでログインIDを表示させないようにするというもの。ログインIDは外にでない方がよい。プラグインが必要だけど、操作は簡単。ユーザ登録画面から簡単に変更できる。ログインページのURLを変更するレベル3もプラグインが必要な作業だ。ログインページのURLを変更すれば、設定してからは自身も間違えないようにアクセスしなくてはいけない。ブックマークを変更したり、ログインページURLを忘れないようにしなくてはならない。共同でサイトを管理している人は、少し手間かもしれない。それでも、IDやパスワードが流出したとしても、ログインページがわからなければ乗っ取られるリスクは下がる。他にも、プラグインによれば、ログインページへのアクセスをIP制限したり、ログイン通知設定ができたりと色々対策は可能のようだ。できるところから!私の現状は...まずは、今できそうなところから対策をしてみてほしい。私は、この記事を書きながらの対策だったので、なかなか時間が取れなかったが、レベル2の対策とスパムメール対策だけはやっておいた。比較的実績があって、最近更新されたものだったので。」を入れようかなと考えている。スパムメールには困っていたので、後述する「GoogleのreCAPTCHA」を使った対策を試みた。それでは、今回のセキュリティ対策に関連するプラグインを紹介する。管理者ページのURLを変更するプラグイン問題なのは、ログインIDが管理者ページのURLや投稿画面から見えること。ログインIDと投稿者名がイコールでなければよい。Slugワードプレスの公式を見ると比較的人気があるプラグイン。管理者ページのURLを変更できる。インストールして「有効」にするだけで、ユーザ一覧に新しい項目ができ、表示される投稿者名を変更することができる。普段使っているブラウザだと、キャッシュが残っていてすぐにタイトルやURLが更新されないので、別のEdge、IE、Chromeなどのブラウザで変更確認を行うとよい。Pagesワードプレスの公式によれば、2年間くらい更新されていないようだが、使用者は多い。Pages:投稿者ページ(/author=?)へのアクセスを無効にできるログインページを変更するプラグイン同じことができてもプラグインの種類がたくさんある。それぞれやりたいことに合ったプラグインを見つけてほしい。Firewall全部英語で、かなり難易度の高いプラグイン。以前さくらインターネットで紹介されていたとか。.htaccessに変更を加えるタイプ。Ghost色々なワードプレス上のURLを変更できるプラグイン、多機能すぎるかも。解説ページはあるけれど、日本語表示ではないかもしれない。rebuildeログインページ名変更プラグインとして、最初に教えてもらったもの。扱いやすそうな印象がある。2.6.0)ログインページを独自の名前のページ変更し、標準のログインページwp-login.phpを使用できないようにするプラグイン。ユーザ情報の画面で、ログインページの名称を簡単に変えられる。注意点:wp-login.phpファイルは削除しない作成者の顔が見えるので安心感がある。rebuilder:プラグイン作ってみましたSiteGuard日本で開発された総合的なセキュリティ系のプラグイン。ログインページ名変更のほか、管理ページアクセス制限、画像認証、ログインロック、ログインアラート機能がある。Jetpackセキュリティがらみで知ったプラグインだけれど、他にも色々機能がある。ライティングチェック機能、SNS連携、アクセス解析。本命のセキュリティ機能もすばらしい。公式:Jetpack問い合わせフォームからのスパムの投稿対策クリックしなければ、リスクはないと思われるスパムメール。本来のお問い合わせ機能以外で使われてしまうのは残念だ。対策をしていないのなら、簡単なのでこれを機にぜひ対策を。いうプラグインに設定するという仕組み。説明するとこんな感じだ。GoogleのreCAPTCHAページにアクセスサイトを登録して、キーを発行ワードプレスにキーを設定まだ設定していない人は、こちらの記事をどうぞ。reCAPTCHAを設定すれば、お問い合わせフォームからくるスパムメールを撃退することができます。対策していない人は簡単なのですぐに設定を。13:32普通の人はもう設定してるよね~セキュリティ対策を終えて全くノーガードだった当サイト。アドバイスをもらっただけで、3日に1度は来ていたスパムも来なくなったし、ログインIDも表示されなくなった。足りないのだろうけど、一応はざっとセキュリティ対策できたのではないかな。記事も書けたので、誰かの役に立てるかもしれない。助言いただいた方に感謝を、そしてまだ対策していない方にはエールを送りたい。けないけど書きたくなったAmazonアソシエイトのことちゃんとした記事にしたかったけれど、単に雑感を述べたコラムになってしまいました。Amazonアソシエイト、楽天アフィリエイトなどについて書いています。記事を読む私がアドセンス申請で気を付けたことAdSense申請の際に気を付けたこと、気を付けた方がよいことを記載。AdSenseにads.txtのエラーが出た場合の、対処方法を記載。作成したファイルをFTPでアップする方法。reCAPTCHAを設定すれば、お問い合わせフォームからくるスパムメールを撃退することができます。対策していない人は簡単なのですぐに設定を。記事を読む新規ドメイン取得~ドメイン7社の価格比較~新たにドメインを取得する場合、現在の相場はどうなっているか、どれくらいの維持費がかかるのか。記事を読む日々収益企画「ちりつも」~収益を上げる癖をつける~サイトだけで収益あげるのは初心者には難しい。そこで毎日何らかの形で収益を上げる癖をつけようかと思いやってみた企画。記事を読むサイトに吹き出し機能をつけてふざけるタイトルからして、ちゃんとした記事を書く気がないのがばれたかもしれない。みんなのように、丁寧にHOWTO記事、使い...記事を読むブログ・サイトを立ち上げる時のために当ブログサイトを立ち上げた際の流れをメモします。記事を読むある雑記ブログのデータ好きなことしか書いてないメンテナンスされてない雑記ブログでも月日が経てばさすがにアクセスが増えますよという話。~サイト開設から8か月~お客様の住所の確認が完了していないため、お客様のお支払いは現在保留中となっています。AdSenseからPINコードが送られたという合図。1泊2日~ちりつも費用で~初心者必見!お問い合わせフォームからのスパムメールを撃退しようスポンサーリンクプロフィール夫の失業を機にサイトを作った暗躍妻@anyakutumaです。Twitterでは「あんやく」と呼ばれています。中年夫の失業から始まる妻の暗躍.。