知っていますか?WordPressのログインユーザー名はだだ漏れだという事実を...ダッシュボード乗っ取り防止のためのセキュリティ対策で必ずいわれるのが、「ワードプレスのユーザー名にはadminではないものを使おう」です。たしかにadminというユーザー名には問題があります。実はデフォルトの状態ではadminかどうかに関わらず、さして労力をかけずにログインIDは露呈してしまいます。総当たり攻撃ともいわれるブルートフォースアタックから守らなければならないのは「ユーザー名」と「パスワード」のふたつですが、そのうちユーザー名はいともたやすく突破されてしまうのです。その理由と対処方法について順を追って解説します。INDEXWordPressではニックネームを必ず変更するニックネームとユーザー名を同じにしない。投稿者アーカイブにアクセスさせないその他にもユーザー名が晒されているコメント機能にも危険が...万が一のログインユーザー名漏洩に備えるWordPressではニックネームを必ず変更するユーザー名はadminやuser、あるいはブログ名などすぐに憶測できるものを使用していないことが前提です。方はまずユーザー名の変更を行ってください。WordPressのユーザー名を変更する3つの方法ニックネームとユーザー名を同じにしない。それではまずは基本的なところからいきます。WordPressでは管理者がコメント欄に入力を行うと、ほとんどのテーマで投稿者としてニックネームが表示されます。テーマによっては記事にも投稿者名としてこれが表示されてしまいます。Twelveまた、ブラウザではニックネームが表示されていなくてもソース内(body内HTMLタグなどのclass属性名)にニックネームが使われていることもあります。このニックネームは管理画面の「ユーザー」→「プロフィール」で設定しますが、なんとデフォルトではニックネーム=ユーザー名なのです。ニックネーム未定義の場合、ユーザー名を公表していることになります。このことを認知していないユーザーが多く、WordPress構築サイトはニックネーム=ユーザー名のものが意外に多いです。最低限、任意のニックネームを設定して、ブログの表示名にこのニックネームを選択しましょう。Archive)というページが自動作成されます。この投稿者アーカイブはユーザー名がadminならば、example.com/author/adminでアクセスできます。投稿者アーカイブへのリンクを作らなければ、閲覧者に知られることはないのではと思われますが、実はサイトURLに?author=ユーザーIDというパラメータを付けることでユーザー名の投稿者アーカイブにリダイレクトされます。・・・example.com/?author=1でアクセスすればexample.com/author/adminにリダイレクトされるということです。?author=1の数字はユーザーIDになるわけですが、一番はじめに作られるユーザーが1となり、アカウントがひとりの場合、通常は1です。2つ目以降のユーザーはauthor=2となっていきますので、1から順番にアクセスしてみればよいのです。ちなみにこのサイトでは一度初期アカウントでログイン後、新規で作成し直しているので、author=1ではありません。(ただし、下記の方法にて投稿者アーカイブのアクセスを禁止しており、404でアクセスできません)ユーザー名が変更されていた場合、ブルートフォースアタックでのユーザー名の特定にひと工程手間が掛ることにはなります。これが無意味ということはないとありませんが、その気になれば、たやすく見破られてしまうということを認識しておいてください。Slug」というプラグインを使うことで投稿者アーカイブのURLを変更できます。プラグインを追加して有効にすると前述の管理画面の「ユーザー」→「プロフィール」に下記のような設定が追加されます。Customの項目でauthor/の後ろのURLを任意に指定できます。この例ではユーザー名adminに対して、下記のような投稿者アーカイブのURLです。https://seous.info/author/D6zfpGN8yI7f7xRXH3n0投稿者アーカイブにアクセスさせない複数の投稿者で運営しているサイトであれば、投稿者アーカイブは有用な場合もあるかと思うのですが、個人ブログやホームページ運用など、管理者がひとりであれば、他のアーカイブページと内容が重複することとなります。いった場合はそもそも投稿者アーカイブそのものが不要でしょう。下記をfunctions.phpに下記を追記することで404を返します。'disable_author_archive');?>その他にもユーザー名が晒されているコメント機能にも危険が...コメント機能を使っていると通常はコメントテンプレートであるcomment-template.phpにより、コメント欄が出力されます。このテンプレートでは以下のように投稿者名のクラスが付与されます。~"しかも、ニックネームではなくログインユーザー名が!この仕様はどうなんでしょう???これはfunctions.phpでのリムーブ処理でcomment-authorの出力を止めてしまうのがよいでしょう。);?>万が一のログインユーザー名漏洩に備えるじつは例えユーザー名がWeb露呈したとしても、乗っ取りを防ぐ鉄壁の手段はあります。管理画面へのIP制限ログインURLの変更ログイン試行回数制限1~2はWordPressのダッシュボードにアクセスすることすらできないため、非常に効果が高いです。FTPにも対策を行います。これはWordPress以外の静的HTMLのホームページにおいても有効です。3のログイン試行回数制限はプラグインのほか、Xserverなどで見られる同様のオプション機能もありますので、それらも合わせて活用するとよいでしょう。管理画面(ダッシュボード)へのアクセスを制限するWordPressでのユーザー名の漏洩についての対策を書きましたが、日々のチェックと不測の事態に備えバックアップは必須です。コメントをキャンセルメールアドレスが公開されることはありません。WordPressでは子テーマという機能があります。WordPressではコンテンツの更新情報を知らせるために標準でRSSを出力します。introductionウェブサービスの構築・集客コンサルティングをやっているR3098です。このサイトではWordPressの初級・中級ユーザーや集客に悩むウェブサイトオーナーに向けた情報を発信しています。