(?2outcx4j6thhy0do0456vパラメータがある場合のみログイン画面が表示される)通常通りユーザ名・パスワードを入力してログイン私の環境では「ユーザ名・パスワードを入力しても再度ログイン画面が表示される」、「間違えたユーザ名・パスワードを入力してもプルプル警告が出ずログイン画面が表示される」となってしまい結局ログイン自体が出来ない状態になってしまいました。いう訳で、この機能は怖いので使用していません。passwords.-全てのユーザに対して強力なパスワードが強制されていない-ユーザ権限に対して強力なパスワードを強制するように設定します。enforcement強力なパスワードの強制をOnにします。Roleセレクトボックスから権限レベルを選択し、それ以上の権限レベルに対して強力なパスワードを強制します。users.の注意となり、Contributor以上の権限レベルに対し強力なパスワードを強制する設定となります。usersとなり全権限レベルに対して強力なパスワードを強制する設定となります。弱いパスワードで新規ユーザを追加しようとすると以下のようにエラーが発生します。既存ユーザのパスワードに対しては警告は出ないようです。users.-headerに多くの情報が表示され過ぎている-head要素にWordPressのバージョン等の情報が表示され過ぎているという警告。Tweaks”より設定。name="generator">等を削除してくれるそうですがバージョン情報削除するのあんまり意味無いと思うのでどうだろう。全てチェック入れてもマイナス要素はないと思います。updates.-管理者以外が全てのアップデート情報を閲覧出来る-デフォルトでは管理者以外でもコア・テーマ・プラグインのアップデートが閲覧出来るので見えなくします。Tweaks”より設定。上より、テーマ、プラグイン、コアアップデートの表示を非管理者へ対して行うかの設定です。チェックを入れる事で非管理者はアップデート情報の閲覧が出来なくなります。vulnerabilities.-URLに送信出来る文字数が制限されていないため脆弱性に繋がる-勉強不足ですがハッカーはURLパラメータにSQL文を挿入することでデータベースを操作しようと狙ってくるそうです。そこでURLの文字数制限を行うように設定します。strings.”をチェックして保存で設定完了。試しにURLに長い文字列を入力してみると、ブログは表示されず真っ白な画面が表示されるのみ、となりました。themes.-ユーザはプラグインやテーマからバージョン情報を知る事が出来る-デフォルトでは以下の様にcss,jsの末尾に”style.css?ver=3.3.1′′といった具合にパラメータとしてバージョンが表示されます。設定により非管理者からはバージョンが閲覧出来なくします。users”をチェックして保存で設定完了。説明を読む限り非管理者にはランダムなバージョンを見せて分からなくさせるのかな、と思ったのですが一切のバージョン番号が見えなくなるようです。attacks.-いくつかのXSS攻撃に対して脆弱-よく分かっていません。DetectionをOnにすればセキュリティステータスは安全になるのですが具体的に何をしているのか?XSSと404は関係あるのといった感じです。調べてみたところ、こちらに書いてある事を防ぐ様な設定でしょうか。area.-あなたはログインのためのまたは管理エリアの安全な接続を必要とされていません-日本語はGoogle翻訳そのままでさっぱりです、がたぶん「管理エリアへの安全な接続」とあるので管理画面へはSSLで接続出来るようにといった注意だと思われます。Tweaks”から設定出来るようですがこの機能を使うにはSSLサーバを契約していなければいけない旨の警告があるので今回は飛ばします。backend.-ユーザーがWordPressのバックエンドからテーマやプラグインファイルを編集することができます-こちらもいまいち分かりません。プラグイン編集”を行えてしまう旨の注意書きかと思われます。Back-end.”から設定出来るようですがチェックして保存しても、チェックされていない状態となってしまいます。site.-“wp-content”ディレクトリ名を変更する必要があります-デフォルトの”wp-content”ディレクトリ名を変更するように、との警告。Directory”より変更を行えます。”wp-content”ディレクトリ名を変更しても記事に画像をアップロードしたらそこからパスが分かってしまうので意味がないような気もします。Securityプラグインを試してみました。.htaccessを生成してファイルを保護してくれたり、ブルートフォースアタック対策があるのは便利かなと思えた反面、”admin”ユーザや”wp-content”ディレクトリ名について警告が出るのは厳しいなと。記事中に書いていませんが特定ユーザ・ホストをBAN出来たりもするようですので保証は出来かねますが便利なプラグインではないでしょうか。設定次第では自分自身がログイン出来なくなる状態に陥ってしまうので使用の際はあくまで自己責任でお願いします。加えて記事中にもありますがプラグインでwp-login.phpへのアクセスを隠蔽する設定が出来なかったので現状wp-login.phpへアクセス出来る状態になっています。WordPressのセキュリティを考えてみた。おきらくサーバー運用メモを参考に.htaccessでwp-login.phpに対して自身のIP(固定IPの場合)のみ許可する設定を記述したほうが良いと思われます。03:00セキュリティ系のプラグインとしてはこれ一個ですみそうなので、便利そうだ。http://t.co/wlLHc4TMコメントは受け付けていません。2015年12月22日NetBeansが重くなるのでnode_modulesやbower_componentsディレクトリを読み込ませなくする。WordPress%d人のブロガーが「いいね」をつけました。