制作実績お見積フォームHTMLWordPressEC累計コーディング数:14685ページホーム>WordPress>あなたのWordPressのセキュリティは大丈夫?コレだけはしたいセキュリティ対策あなたのWordPressのセキュリティは大丈夫?コレだけはしたいセキュリティ対策WordPress2018年11月16日WordPressのセキュリティはどうされていますか?WordPressは世界中で人気のCMSでとても人気ですが、その反面ハッカーに狙われやすいのがデメリットです。ハッカーに攻撃されたら、情報が必ず流出する訳ではありません。セキュリティ対策をしていれば大切な情報などを防げます。今回は、WordPressに特化したセキュリティ対策を紹介します。メールアドレスなど推測されやすいパスワードは避けましょう。「password」や「login」など安易なパスワードも危険です。辞書に乗っている単語などもハッキングされる可能性が高いです。推測されにくいパスワードを設定しても、注意しなければならないことがあります。それは、他のサービスなどで使用しているパスワードを使い回すことです。同じパスワードを使い回すと他のサイトでハッキングされた場合、WordPressもハッキングされる可能性があります。同じパスワードを使いまわさないのがおすすめです。推測されにくい難しいパスワードは、半角英数字が入った規則性のない10文字以上のパスワードです。自分でパスワードを設定するのも構いませんが、ツールを使うことで推測されにくパスワードが簡単に作成できます。推測されにくおすすめのパスワード生成ツールを紹介します。LUFTTOOLSLUFTTOOLSは、2文字〜40文字まで自由に設定できます。このツールでは、以下の項目が設定可能です。・その他・・・「似通った英数字は省く」「8文字以内の場合、同じ文字は2回以上使わない」の2つをチェック形式で選択できるこのツールは無料で誰でも利用可能です。Generatorです。海外産のツールで言語は英語のみになります。誰でも使えるように設計されているので、英語のわからない方も利用することが可能です。パスワードを作成する項目はこのようになっています。Generator公式URL:http://passwordsgenerator.net/この2つがおすすめのパスワード生成ツールです。このようなツールを使って強固なパスワードを設定してください。設定したパスワードをどこかにメモや保存するときにも注意が必要です。スマホやパソコンなどのメモアプリなどにパスワードを記載した場合、スマホやパソコンを紛失すると他の誰かに見られてしまう可能性があります。「紙などの媒体にメモを残せば100%安全なのか」と問われると100%安全ではありません。紙にメモなどの記録を残した場合でも泥棒などに入られて盗まれてしまう可能性もあります。パスワードを全て頭の中に記憶する方法もありますが、誰かに見られることはなくても忘れてしまうというリスクがあります。100%安全なパスワードの管理方法はありませんが、流失するリスクを軽減することは可能です。おすすめの管理ツールなどを紹介します。1Passwordパスワード管理ツールで有名なのが、1Passwordです。WindowsとMacの両方で利用できます。価格はPC版が有料になり、Android版とiOS版は無料で利用することも可能ですが全ての機能を使用するには課金が必要です。このツールはパスワードの管理と生成の両方ができます。パスワードの管理方法としては、マスターパスワードというパスワードを生成します。そのマスターパスワードを利用することで各パスワードにアクセスすることが可能です。1つのパスワードを管理するだけでOKということです。その上、このツールで強固なパスワードも生成できるので、TwitterやInstagramなどのSNSにアクセスして強固なパスワードを生成して登録、そのままパスワードを保存することも可能です。生成するパスワードを細かく設定することもできます。「強度・長さ・見やすさ・桁数・記号・紛らわしい文字回避・文字の繰り返しを許可」などの項目を設定できます。設定したパスワードはスマホに共有することも可能です。DropboxやWiFiを利用することでスマホにデータを同期できます。1つデメリットなのが完全に日本語対応していないところです。ほとんどの部分が日本語に対応していますが、一部英語表記の部分もあります。料金はこのようになっています。7.99ドル1Password公式URL:https://1password.com/LastPass完全日本語対応しているパスワード管理ソフトでおすすめなのが、LastPassです。このツールも1Passwordと同じようにパスワードの生成と管理ができます。WindowsとMacの両方のOSにも対応しています。ログインするために2段階認証を設定することも可能です。指紋での認証にも対応しています。いう方におすすめなのが、パスワードブックです。パスワードブックはアナログでパスワードを管理したい方に人気のある商品になります。簡単に言えば、パスワードを管理することに特化した手帳です。片面1ページの項目はこのようになっています。価格は540円になり、アマゾンや楽天などのECサイトで購入できます。プラグインを入れすぎないプラグインは手軽に高度な機能を実装できるのが魅力です。その反面プラグインの入れすぎによる弊害も存在します。プラグインを入れるすぎることによってサイトが重くなります。それだけではなく、プラグインをたくさん入れることでプラグイン同士がバッティングしてセキュリティに穴をあける(セキュリティホール)が発生する可能性もあるのがデメリットです。プラグインは基本的には10前後にするのがおすすめ。多くても20個以内にしておきましょう。プラグインは公式(https://ja.wordpress.org/plugins/)のモノを使用するのがおすすめです。プラグインの最終更新が1年以上経過しているのは避けましょう。一度インストールしたプラグインは自分で更新することが必要です。プラグインを更新する必要がある場合は、WordPressの管理画面で確認できます。ワードプレスの管理画面にアクセスすると、左上に更新マークと数字が表示されている場合があります。このマークと数字が表示されていたら更新ができるプラグインがあるということです。実際にこのマークをクリックすると、このようなプラグインの更新画面に推移します。この画面でプラグインを更新することが可能です。プラグインと同じようにWordPress(CMS)の更新もおこないましょう。基本的に更新できるモノは、更新した方がセキュリティ的に良くなる場合が多いです。難易度は高いですが、データベース名の変更もセキュリティの向上に有効です。使用しているサーバーによっては、データベース名を変更できない場合もあります。データベース名を変更するといっても名前を全て変更する訳ではありません。データベース名の最初についている「wp」という部分(接頭辞)だけを変更します。この部分を変更するだけで、ハッカーからの攻撃を防げる可能性が高くなります。今回は、接頭辞を「wp_sample」に変更します。この部分を変更するために、データベース管理画面(phpMyAdmin)の「SQL」メニューを開いてください。このようなSQLをコマンドを実行することで「wp_」を「wp_sample」に変更に変更できます。‘%wp_%’;同じように、以下のSQLコードを実行してください。‘%wp_%’最後に「wp-config.php」を編集します。‘wp_sample’;これで正常にログインできればOKです。動作しているのを確認できたら、元のデータベースは削除しても構いません。ログインの認証を増やす1番重要なのは、ログインの認証を増やすことです。どれだけセキュリティ向上を心掛けていても、不正ログインされてしまっては意味がありません。不正ログインされないために、ログインするための必要項目を増やしましょう。ご存知でしょうか?Googleなどのサービスなどを利用するときに「少し曲がったような文字」などを読み取って、その文字を入力したことはありませんか?あのような、テキストではなく画像をを読み取りその情報をログイン時に使用するのが画像認証です。画像認証が優秀なところは、ロボットによる自動攻撃を防ぐことができるところです。ロボットは画像を認識してそのデータを解析するのが難しいです。そのため、画像認証を設けておくことでロボットによる攻撃の多くを防ぐことが可能です。「でも、ログイン画面に画像認証を設定するにはどうすればいいの」って思いますよね。そこで、だれでも簡単に実装できるプラグインを紹介します。このプラグインを使用することでログイン画面に画像認証を設定できます。画像認証の文字は「ひらがな」と「英数字」から選択可能です。画像認証は、ログインページだけでなく「コメントページ」「パスワード確認ページ」「ユーザー登録ページ」にも設定できます。画像認証以外にもログインロックをかかけることも可能です。「5回連続でログインに失敗した場合、1時間ログインできなくする」などです。「画像認証はめんどくさいけど、ロボットの攻撃は防ぎたい」という方にログインロックがおすすめ。ログインロックを設定しておけば、仮にロボットによる自動攻撃を受けたとしても突破されにくくなります。設定してほしいのが「ログインアラート」です。ログインアラートとは、ログインしたことを知らせるための機能です。ネット銀行などを利用している方はピンッとくると思いますが、ログインするたびにメールなどで通知されることってありますよね?自分も含め誰かがログインするたびにログイン通知が来る機能がログインアラートです。このログインアラートを設定していると、第三者が不正ログインした場合すると指定したメールアドレスにすぐに通知されます。仮に不正ログインされた場合でも、すぐに気付くことができます。不正ログインを早期発見して対策することで、被害を最小限にすることが可能です。このプラグインを導入して、必ず確認して欲しいのが「ログイン履歴」です。ログイン履歴は、実際にログインしたユーザーだけでなくログインを試みたユーザーも表示されます。ログイン履歴を確認すると、見覚えのない怪しいユーザーがログインを試みていることもあります。見覚えのない怪しいユーザーがログインを試みていたら早期に対策してログインされないようにしましょう。無料で利用できる上に定期的に更新されるので、安心して利用できます。不正ログインを高い確率で防げるのが、二段階認証です。二段階認証とは、IDやパスワードのログイン情報の他に指定したメールアドレスや電話番号にワンタイムパスワード(一時的なパスワード)を通知してログインする方法です。IDやパスワードがハッカーに知られて、ログインを試みてもワンタイムパスワードがわからなければログインできません。二段階認証では、ワンタイムパスワードが通知されるメールアドレスやスマホがなければログインすることは不可能に近いです。二段階認証を設定するのにおすすめのプラグインを紹介します。Authenticatorです。二段階認証を導入するための手順はこのようになります。Authenticator」をインストールします。Authenticator」と入力してください。公式サイトは以下のURLになります。Authenticator公式URL:https://wordpress.org/plugins/google-authenticator/プラグインをインストールして有効化すると、サイドバーに「ユーザー」という項目が追加されていると思います。「ユーザー」という欄を選択して、二段階認証を設定するユーザーを選択。Authenticatorのプラグインの詳細設定画面に推移します。上に表示されている「Active」という項目にチェックを入れてください。ここに、チェックを入れることでこのQRコードの機能が有効化します。次に上から4番目に表示されている「Secret」という項目の設定をおこないます。Secretは二段階認証をおこなうための、QRコードを表示するための項目です。Code」ボタンをクリックすると、QRコードが表示されます。表示されたQRコードをGoogle認証システムのアプリを使って読み取ってください。QRコードを読み取ってGoogle認証システムのアプリを開くとこのように6桁の数字が表示されます。モザイクがかかっている部分に数字が表示されています。Authenticatorを有効にしたまま、ログイン画面にアクセスするとこのように表示されます。今までは「Usename(ユーザー名)」と「Password(パスワード)」だけの表示だったと思います。code」という項目が追加されているのを確認してください。code」という項目に、Google認証システムのアプリに表示されている数字を入力してください。数字が正しく入力されていれば、ログインすることが可能です。AndroidとiOSのアプリダウンロードはこちらからできます。Authenticator公式URL:https://itunes.apple.com/jp/app/google-authenticator/id388497605?mt=8ログインURLの変更WordPressの管理画面は、ドメインの後に「wp-admin」をつけることで管理画面にアクセスできます。ログイン画面にアクセスできるURLを変更するだけでもハッカーから狙われにくくなります。ログインURLを変更する方法は自分でファイルにコードを追記する方法とプラグインを利用して変更する方法の2種類です。今回は、プラグインを使ったログインURLの変更方法を紹介します。rebuilderこのプラグインは単にログインURLを変更するだけでなく、管理者や編集者によってログインURLを変更することが可能です。この使い方はセキュリティを高めるだけでなく、WEBサイトのコンテンツをライターに任せる場合、記事の作成などの権限だけを与えたログインURLを発行することも可能です。rebuilder公式URL:https://ja.wordpress.org/plugins/login-rebuilder/まとめいかがでしたか?少し工夫するだけでセキュリティはグッと高くなります。大切なのはこの2つです。・推測されにくいパスワードを設定する・二段階認証を設定する少し面倒かもしれませんが、ハッキングされて大切なWEBサイトや情報が流失してからでは遅いです。できる限りの対策をして、被害に合わないようにしましょう。(パスワードを複雑にする、プラグインは入れすぎない、二段階認証、ネットワーク制限、URLの変更、連続入力ミスのバリデーション、ロボット攻撃対策、バックアップ)今すぐ無料で見積もりを依頼する「納期に間に合わない!」「スタッフの手が空かない!」「技術的に対応できない!」そんな時は、制作会社様とのやり取りに特化した、信頼と安心のくまwebにご依頼ください。今すぐ無料でお見積もりを依頼する「納期に間に合わない!」「スタッフの手が空かない!」「技術的に対応できない!」そんな時は、制作業者様とのやり取りに特化した、信頼と安心のくまWebにご依頼ください。