インターネットwordpressを標準設定で使用しているとメチャクチャにハッキング攻撃を食らいます。WordPressハッキングの手口で最多を誇るのがログインページから投稿者スラッグを利用してログインIDを割り出し、適当なパスワードを放り込んで無数に繰り返すブルートフォースアタック(総当たり攻撃)です。このブログは投稿者スラッグを変更しているのでハッキングされたことはありませんが、それでも1日だいたい50~80回くらいの攻撃を受けています。なんだかハッキングというと中国だと思われがちな偏見が渦巻いていますが、僕が管理しているwordpressサイトを全体的に見ても、圧倒的に多いのがフランス、アメリカ、ウクライナですね。著者ページへのアクセスoEmbedその他WordPressのセキュリティ対策:投稿者スラッグを変更するWordPressハッキングの手口とは?WordPressはログインページのURLが決まっていて、デフォルトだとhttp://●●●.com/wp/wp-login.phpというURLになっています。ドメイン名はアドレスに表示されているし、インストールディレクトリ(上記だと/wp)はブログ中の画像のURLでもチェックすれば分かります。問題はこのwp-login.phpというログインページのURLが攻撃の糸口になってしまう点にあります。対策をしていない限り、ログイン認証は何度失敗してもロックがかからないので何度でもログインを試みることができてしまい、スクリプトを組んで何百何千何万と試行するうちにログインできてしまうこともあります。万回やっても一晩で終わるかもしれません。ログインIDは、何も対策をしていないとバレバレだったりします。wordpressで記事を書くと記事末に投稿者名が付与されます。これはその投稿者の投稿一覧ページへ遷移できるようになっていて気が利くなぁ、と思ったら大間違い。なんとここに表示されているのはデフォルトだとユーザーIDと同一になっているため、これをすっぱ抜かれてハッキングされます。これは投稿者スラッグと言いますが、何の対策もしていないブログがかなりあります。WordPressのセキュリティ対策:まずはログインURLを変更しようハッキリ言ってこれだけでWordpressの不正アクセスの99.99%くらいがブロックできます。.htaccessを書き換えてプラグインを使わずに実装する方法もありますが、プラグイン使ったほうが初心者でもわかりやすいのでプラグインを使うやり方を解説します。rebuilderというプラグイン。これは簡単にログインページのURLを変更できる便利なプラグインです。インストールして有効にすると、メニューの「設定」に「ログインページ」という項目が現れるのでそちらをクリックします。rebuilderの設定を行います。設定項目はないんですが、簡単に解説します。「サイトトップへリダイレクト」でいいです。これで、デフォルトのwp-login.phpにやってきたマヌケなやつらは根こそぎサイトトップへぶっ飛ばされます。ログインファイルキーワード設定ページを開くたびに自動生成されるのでそのままでOK。新しく生成されるログインページと連携をするためのキーワード?かな?新しいログインファイルこれが新たなログインURLとなるファイル名。好きなファイル名でいいですが、推測されづらく且つ自分でわかりやすいものにしておこう。ちなみに忘れてしまっても、ftpでWordpressをインストールしたルートディレクトリを参照すれば、ここで入力したログインファイル名でファイルが存在しているので確認できます。第2ログインファイルグループで運営していて、管理者と編集者を分けたい場合などに。ステータスプラグインの機能を有効にする場合は「稼働」にチェック。稼働にチェックを入れます。ログ保存どうでもいいです。気になる人は「無効なリクエスト時のみ」にチェックくらいでいいかなと。著者ページへのアクセス投稿者ページへのアクセスをどうするかという設定。「404ステータス」にしておけば安全ですが、グループで運営している場合など、投稿者スラッグで一覧を見たりできるので残しておきたい場合もあると思います。投稿者スラッグを変更する方法があるので後述を参照してください。oEmbedこれでハッキングしてきたやつをまだ見たことありませんが。ソーシャルとかそういうコンテンツをブログに埋め込む際にユーザーIDを推察できるような情報が付いている場合があるので、それをシャットアウトするための設定です。「レスポンスデータの投稿者名とURLを隠す。「head要素内のリンクとレスポンスデータを出力しない。」どちらでもいいと思います。その他これはもう蛇足みたいな設定ですが。僕は「登録フォームを拒絶する。」だけチェックしてます。設定を変更したら保存して、試しにログアウトして先ほどの新しいURLでログインページが表示されるかチェックしてみよう。ログアウトしたくないなら、ブラウザのシークレットモードで新しいURLを開いてログインを試すといいです。元のwp-login.phpへアクセスしてみて、トップへリダイレクトされるかもチェックしておこう。Slugというプラグインを導入します。Slugをインストールして有効にしたら、メニューの「ユーザー」にある「あなたのプロフィール」をクリック。Slugを入れていなくても元からあります。Slugを導入すると一番下に新たに項目が追加されます。ここでカスタム設定の空欄に好きな投稿者スラッグを記入します。英数字限定にしたほうがいいです。これで、記事末尾にある投稿者名のリンクが、ここで入力したスラッグに変わります。いうことで、ログインページのURL変更+投稿者スラッグ変更をやっておけばハッキングされることはまずありません。プラグインで簡単に設定できるのでぜひ導入しておきましょう。ログインページのURLは推測されづらいものにして、投稿者スラッグも実際のIDとはかけ離れたものにしておくことをおすすめします。シェアするツイート3フォローするランキングに参加しています。この記事が役に立ったらぜひクリックお願いします。スパム対策WordPressプラグインブログやサイトを運営しているとお問い合わせフォームから広告などのスパムがいっぱいやってきます。ウザイことこの上ないので、WordPres...記事を読むGoogleの画像検索の結果から「画像を表示」ボタンが消えたので復活させるGoogleの画像検索の結果から「画像を表示」のボタンが削除されてしまいました。これでは不便なので、「画像を表示」と同等の機能をchrome拡張で追加、画像表示ボタンを復活させます。記事を読む某アフィリエイトプログラムのA8n〇tに登録してみたら・・・アフィリエイターがどんなことやってんのかなーって軽いノリで某アフィリエイトサービスに登録してみました。Aなんとかいうとこです。このブログ、遅いんですよ。サイトを削除するちょっと前に、過去に僕がサイトリニューアルを受け持ったクライアントさんからご相談がありました。「リニューアルしたのに過去の作品が見れ...記事を読むバーチャルユーチューバーが単なるアバターになっていくバーチャルユーチューバーってやつが急増してます。Playerのインストールと設定。タウンなど2018年に世間をにぎわせた海賊版サイトが完全に潰れましたね。小さなところでまだ細々と生き残っているところ...記事を読む【アドセンス】関連コンテンツの解放条件【2019年最新版】ブロガーの皆さんこんにちは。ブログ飯に欠かせないのがご存知アドセンス。Playerのインストールと設定。(5)ランキングに参加しています。