WordPressホワイト森山WordPressの管理画面、その他関連ファイルにアクセス制限をかけるツイートシェアはてブ送るPocketどうも、ホワイトです。いつだったか、対応した案件で非常にセキュリティ面についてのルールが決まっている案件があり、そこから自分も強く意識するようになったのが、WordPressへの不正アクセスへの対応。WordPressはログイン画面のURLがわかりやすく、ブルートフォースアタックも多いので、ログイン画面やその関連ファイルへのアクセスについても充分気を付けなくてはいけません。今回はそのログイン画面と、それに関連して制限をしておいた方が良いファイルへの設定方法です。アクセス制限の記述は全て.htaccessに記述する方法を説明します。↓セキュリティ関連だと、こちらの記事も参考になるかと思います。Plugin」プラグイン導入でWordPressのセキュリティ向上を図る!https://blog.white-base.work/6754/どうも、ホワイトです。WordPressの初歩的な部分を振り返っているつもりで書いているプラグインシリーズですが、結構出てくるもんですね。Plugin」の設定と使用方法について。アクセス制限(4)xmlrpc.phpアクセス制限(1)wp-login.phpどのWordPressでも共通のログイン画面URLの末尾に付くのが、wp-login.php。このファイルへのアクセスを制限します。000.000.000.000</Files>0のところにIPを入れていきます。000.000.000.000</Files>さっきの逆ですね。こちらも0のところをIPに変えて、複数指定の場合は、許可のときと同様に記述を増やしていきます。アクセス制限(2)wp-adminwp-login.phpとともにログイン画面へのアクセスURLで代表的なものがwp-adminディレクトリへのアクセス。WordPressはhttps://xxxxxx.com/wp-admin/というURLでもログイン画面へアクセスすることができます。そこで、wp-adminディレクトリへアクセス制限を行います。wp-adminディレクトリ内にも.htaccessを設置して、そちらに以下の記述を行います。none</FilesMatch>他と同様、0にIPを入れます。“(admin-ajax.php)$”>という記述が入っているのは、admin-ajax.phpはアクセス制限の対象から除外しているためです。admin-ajax.phpはプラグインで使用している場合があるため外しておいた方が良いそうです。アクセス制限(3)wp-config.phpこちらもWordPressを構築する上では結構大事な情報が記述されているので、是非アクセス制限をかけておくことをオススメします。データベース情報なんか知られたら厄介ですからね。all</Files>基本的に見る必要のないファイルなので、アクセスすること自体を制限しておきます。all</Files>このファイルへのアクセスを集中させてサーバーに高負荷をかけられることもあるので、アクセス制限をかけておきます。これに関してはこちらの記事を参考にさせていただきました。.htaccessでアクセスを制限するhttps://wind-mill.co.jp/iwashiblog/2015/07/xmlrpc-access-limit/いわしブログで再度503エラーが頻発するようになったので、xmlrpc.phpに対する攻撃を.htaccessでアクセス制限しました。以前にいわしブログで503エラーが頻発した時は、.htaccessを使って攻撃元IPのアクセスを制限しましちょっと油断すると外部アタックの対象になりかねないWordPressなのでセキュリティ対策は万全に講じておいた方が良いですね。福原」ジムに行ったらパーキングが閉まってタクシーで帰宅した話RECOMMENDこちらの記事も人気です。GMOに行ってきたABOUTこの記事をかいた人ホワイト森山1978年9月30日生まれ。現ウェブデザイナー兼ウェブディレクター。人気ブログランキングへにほんブログ村ホワイト森山のプロフィール元プロレスラー。フリーランスのウェブデザイナー&ウェブディレクターのホワイト森山です。大人げなく、そして容赦なくバチバチ殴る蹴るプロレスやってました。今はウェブ制作のお仕事やらせてもらって平和に過ごしています。詳しいプロフィールはこちら。お仕事のご依頼・ご相談、その他メッセージなどありましたら、こちらからどうぞ!悪いようにはいたしません(笑)、安心してお問い合わせください。