車いすなコーダーAbout小樽で3年と少し経験を積み、現在は札幌でコーダーをしております。赤い電動車いすに乗って生活をしています。不便はありますが、行列待ち等の椅子がない状況では、真価を発揮します。※スロープやエレベーターに関しては、もはや好きという感情では収まり切れません。MarWordPressセキュリティ脆弱性等のセキュリティ面では何かと話題になることが多いWordPressですが、今回は特にプラグインを使わずに出来る簡単なセキュリティ対策について、ご紹介していきたいと思います。※大前提として、WordPress本体とプラグインは常に最新を保つというのはとても重要です。コンテンツ一覧データベースのテーブルプレフィックス(テーブル接頭辞)をデフォルトから変更するデフォルトは「wp_」となっており、SQLへの不正アクセス(SQLインジェクション等)を狙ってくる攻撃者にとってみれば、テーブル名が推測しやすい状況です。WordPressを新規インストールする際に設定するだけで変更ができますので、デフォルトの「wp_」以外に設定するよう心がけましょう。コンテンツ一覧へ戻るwp-config.phpへのアクセス制御データベースのアカウント情報も記載されている重要なファイルとなりますので、特にセキュリティ面において気をつけておくべきファイルとなります。.htaccessで外部からのアクセスを不可にしておきます。「wp-config.php」が置いてある階層にある「.htaccess」に、以下のコードを追記します。Forbidden」と返ってくることが確認できるかと思います。次にパーミッションを「400」に変更し、所有者のみ読み込み権限を与えておきましょう。コンテンツ一覧へ戻るxmlrpc.phpの無効化スマホアプリから等、管理画面から行う通常の投稿以外の方法を実現するために必要となるファイルですが、特にそういった運用が想定されない場合はハッキングの踏み台になりかねないので、こちらも.htaccessでアクセス不可にしておきましょう「xmlrpc.php」が置いてある階層にある「.htaccess」に、以下のコードを追記します。all</Files>不要であれば本来削除でも良いのですが、バージョンアップの度にファイルが復活してしまいますので、.htaccessで制御が無難ですね。不正アクセスや悪意ある攻撃というのは海外からが目立ちます...というか殆どです。そこでよく挙げられているのがBasic認証による二重保護になるかと思うのですが、今回は日本国内IPに制限するという対策をご紹介したいと思います。以下のサイトを使用することにより、日本国内IP制限された「.htaccess」ファイルをダウンロードすることが出来ます。日本国外からのアクセスを制限する.htaccessダウンロードした「htaccess」を「wp-admin」ディレクトリに格納後「.htaccess」となるようにリネームします。これでダッシュボードには日本国内IPのみしかアクセスできない状態になりました。後は、念のため「wp-login.php」へのアクセス自体も同様にしておきましょう。先ほどダウンロードした「htaccess」を流用し、「wp-login.php」が置いてある階層にある「.htaccess」に、以下のコードを追記します。1.21.0.0/16......コンテンツ一覧へ戻るwp-includesディレクトリのブロック基本的にユーザーからアクセスが想定されない部分ですので、こちらはmod_rewriteを用いてブロックしてしまいます。「wp-config.php」が置いてある階層にある「.htaccess」に、以下のコードを追記します。[F,L]</IfModule>マルチサイトで運用されている場合は7行目のコードを削除してください。コンテンツ一覧へ戻るダッシュボードからのファイル編集を無効化テーマやプラグインのファイル等はダッシュボードから編集できるようになっておりますが、特にそのような運用が想定されないようであれば、編集できないように無効化しちゃいましょう。「wp-config.php」に以下のコードを追記します。true);コンテンツ一覧へ戻るというわけで、今回はプラグインを使わずに簡単に施せるセキュリティ対策についてご紹介しました!ここで詳細は割愛させていただきますが、他にもプラグインを使いアクセスログを取る、ログイン時に文字認証を導入する、等など、色々なセキュリティ対策があります。定期的なバックアップ、アップデートを行い常に最新を保つ、というのが重要ですね。Posts2019.07.15「別のプログラムがこのフォルダーまたはファイルを開いているので、操作を完了できません。