英樹WordPressは世界的にメジャーなOSSのブログシステムです。それ故、クラッカーから狙われ易いのも事実。Magazineの記事から紹介します。全て適用する必要はありませんが、可能なものから随時行っていくのがいいでしょう。2.6から、wp-contentフォルダをリネームして運用することが可能になりました。肝心のwp-adminフォルダは、この変更に未対応です。そこで、WordPressフォルダを適当な名前に変更しておき、管理アドレスを推測しにくいものに変更しましょう。(URL)]に運用で使いたい仮想アドレスも設定してください。2.7から導入されたセキュリティキーを追加するキーの作成はsecret-keyジェネレータから。ジェネレータは稀にバージョンが上がってキーの数が増えるときがあります。2.6から、wp-config.phpをひとつ上の階層に移動させても動作します。上位階層がブラウザからアクセス出来ない領域である場合に効果的です。wp-config.phpファイルを守る全てのプロバイダがブラウザからアクセス不可能な領域を用意しているとは限りません。.htaccessが使えるならブラウザからwp-config.phpにアクセス出来ないように制限をかけましょう。all</files>adminユーザアカウントの削除WordPressは初回インストール時に自動的にデフォルトユーザとしてadminアカウントを作成します。この名前は容易に想像がつくため攻撃の的にされます。次の手順でadminアカウントを削除しましょう。織り交ぜた、十分に長いフレーズにしましょう。wp-adminフォルダを守る管理領域へのログインにはパスワードが必要とは言え、フォルダの深層に自由にアクセスできる状態では不安です。.htaccessと.htpasswdを使ってwp-adminフォルダにベーシック認証をかけましょう。ログインページのエラー表示を抑制WordPressは、ログインエラーのときにユーザ名が間違っていれば、ユーザ名が違うと教えてくれます。同様にパスワードが間違っていれば、パスワードが違うと正直に答えます。これは管理者には便利ですが、悪意のアタッカーにはクラックのためのヒントを教えているようなもの。このエラー表示を黙らせましょう。お使いのテーマのfunctions.phpに以下のコードを追記。null;"));ログイン再試行回数を制限するWordPressはログインエラーを記録してくれません。そのため、誰かがログインアタックを仕掛けていてもサーバのログを見ない限りは気づき難いです。Attemptsといったプラグインを使用して、ログイン試行回数を厳しく制限しましょう。最新版の維持WordPressは絶えずセキュリティアップデートをしています。現在のバージョンに満足しているからと言って、アップデートを怠ってはいけません。プラグインも同様です。急いでアップデートするとバグに見舞われることもあるので、更新内容を十分に確認して下さい。使わないプラグインの放置はセキュリティリスクが高まるため、早めに削除しておきましょう。