WordPress目的別でわかるWordPressセキュリティ対策モリシタ2018/8/72019/6/21ニャンズとにゃんにゃんしている侍エンジニア塾ブログ編集部のモリシタです。誰でも簡単に使えるWordPressって、実は悪い人から狙われているんですよね。セキュリティーに関しても、自己責任なので何から初めていいかわかりませんよね。そんなあなたのために、目的別にセキュリティー強化の方法をお教えします。この記事を読めば、あなたに必要なセキュリティー対策がわかります。stock誰でも使えるCMSWordPressは世界中で利用されるCMSサービスです。専門知識がいらず誰でも使えるため、注目度も高いサービスです。専門知識がいらないために、必要な対策ができている人が多くありません。いったスキを狙う悪質な人が多くいます。誰でも見れるオープンソース誰でもソースの中身を解析することができるので、脆弱性を発見されやすい構造となります。審査もなく一般の人がテーマを配布でき、バグやセキュリティ的に問題のあるテーマも少なくありません。設定を変更し、せっかく作ったサイトが台無しに・・・それだけで済めばいいのですが、WordPressのアカウント情報を元にメールなどのアカウントが狙われてしまう場合があります。メールアドレスやパスワードを使い回ししている人が多く、WordPressで得た情報から他のサービスにアタックされる可能性があります。メールアカウントが乗っ取られ、スパムメールを大量に送信されたり、身に覚えのない請求に繋がる場合があります。コンテンツやページデータの改ざんせっかく作ったコンテンツが、全然違うものに置き換えられていたり最悪全てなくなってしまうこともあります。他にも、怪しい別のショッピングサイトなどへ飛ばされたり、ウィルスを撒き散らすための道具にされたりします。あなたが行った事ではありませんが、被害拡大への一端をになってしまったことにかわりありません。勝手に意味のない大量のコメントを投稿されるという被害もあります。他にも、企業や個人などが自らの利益のために文章などを書き込みます。第三者が自分のブログのアクセスアップを図ったり、金銭獲得のためのサイトなどに誘導することを目的にしています。あなたのサイトを足がかりに、自分の利益を得ようとしているのです。情報流出ログイン情報や個人情報などを抜き取られる可能性があります。会員制のサイトの場合、サイトへのログインが必須となります。そのアカウント情報が抜き取られると、会員への被害が発生します。なると、あなたのサイトのセキュリティに対し、責任が問われることになります。何かトラブルがあったときに、元に戻せるようにバックアップは必ず必要です。1日一回は最低でもバックアップを取るように、自動化することをオススメします。バックアップを自動化できるプラグインもあるので、活用して下さい。テーマやプラグインは常に最新にCMSの脆弱性はWordPressに限らず、どのCMSでも定期的に発見されます。アップデートすることにより、脆弱性が改善されます。脆弱性を放置したままサイトを運用すると、ターゲットにされやすくなります。CMSのアップデートがあった場合、必ず実行し、WordPressのコア、プラグイン、テーマを常に最新に保ってください。stock不正ログイン対策パスワードを再設定WordPress管理画面へのログインパスワードを、大文字、小文字の半角英数字が入った複雑なものに変更します。目安としては、パスワードの強度が「強」となるようにしましょう。自分では難しい!という方は、こういったサイトも活用しましょう。これは、設定した条件にしたがって、乱数を取得してくれます。桁数とチェック項目にチェックを入れるだけで、強固なパスワードが作成できるのでオススメです。https://tomari.org/main/java/password.htmlまた、以下のような推測できるパスワードは絶対にやめましょう。安易に推測できるもの(admin、password、aaaaなど)誕生日ユーザー名の設定ユーザー名が分かると、パスワードを手当り次第に当てはめて突破される可能性が上がるため、ユーザー名にも注意しましょう。「admin」は、WordPressのインストール時によく初期設定されています。そのため、「admin」が攻撃されやすくなっています。「admin」がある場合は、使用しないことと、可能であれば削除しておきましょう。ユーザー名は、投稿者アーカイブページのURLから簡単に推察されます。できれば投稿者アーカイブを利用しないこともオススメします。ユーザー名・パスワード運用の注意点アカウントのログインなので、注意したいのが以下の点です。パスワードはブラウザに保存しない「ログイン状態を保存する」を使用しないまた、画像認証の導入も検討しましょう。この方法は、ボット避けに有効な手段です。プラグインがあるので、有効にするだけで手軽に画像認証を使ったログインができます。https://www.jp-secure.com/siteguard_wp_plugin/ログイン画面へのアクセス制限ログイン画面(wp-login.php)へのアクセスは、(.htaccess)を書き換える事でできます。以下を追記しましょう。IPアドレスが固定でない場合は利用できないので、注意してください。IPアドレス</Files>データ漏洩対策wp-config.phpへのパーミッション設定(wp-config.php)には、データベースにアクセスするためのIDやパスワードなども記述されているます。そのため、このファイルがターゲットにされやすいのです。(wp-config.php)をパーミッションを、標準の「644」から「400」に変更することをオススメします。変更は、FTPソフトの機能をご利用ください。最近は、ホームページ全体を常時SSL化する事が当たり前になっています。SSL/TLSというのは、通信を暗号化することで第三者による盗聴・改ざんを防ぎます。皆さんもネットでホテルを予約したり、何かを買ったりしますよね。暗号化されていないと、クレジットカードの情報などが抜き取られ、身に覚えのない請求がされたりします。暗号化されているかどうかは、URLでわかります。プラグインで暗号化ができるので、ぜひ活用してください。投稿の制限をする無限にコメントを投稿できないように、設定する事が大切です。コメントを承認制にしたり、ユーザ登録をしないとコメントできないように制限しましょう。プラグイン「Akismet」の利用コメントスパム対策のプラグインを利用しましょう。スパムコメントをフィルタリングしてくれるので、スパムコメントかどうかの選別もしやすくなります。https://akismet.com/まとめいかがでしたか?もし、あなたがなんのセキュリティ対策を行わなかった場合、起こる危険性は以下の通りです。情報流出これらの危険からあなたのサイトを守るためにも、ぜひセキュリティー対策を行なってください。TweetPocket無料でSEからWebエンジニアへ転職しませんか?侍エンジニア塾では、完全未経験の方から現在SEだけどプログラミングはやっていないという経験者まで、幅広い方々の人生を好転させるプログラミング指導を行ってきました。SEの方とお話していくなかで、システムエンジニアという職業だけどコードが書けない事務作業が多くスキルがないため将来が不安スクールに通うと完全未経験者と同じスタートになるからレベルが合わないという、すでに知識があるSEならではのお悩みがあることに気づきました。弊社では、マンツーマンでレッスンを行いますので、現在お持ちの知識レベルからカリキュラムを作成いたします。こちらの転職コースは無料で受講を始められて転職成功でそのまま卒業できるというとてもお得なコースとなっています。知識のあるSEといっても転職は年齢が若いほど受かりやすいため、まずは無料体験レッスンで今の現状や理想の働き方について一緒に考えていきましょう。無料体験レッスンを予約する書いた人モリシタ猫をこよなく愛する、侍エンジニア塾ブログ編集部のモリシタです。