WordPressWordPressのセキュリティ対策9つ【保存版】ウェブサイトがWordPressのCMSによって素人でも簡単にウェブサイトを構築することができるようになりました。WordPressのセキュリティ面を考慮して運営している運営者がどれぐらいいるでしょうか。WordPressのセキュリティ面を強化する意味あいでも自身の備忘録として記載してきます。まとめ1.WordPressが受ける攻撃についてWordPressの管理画面にアクセスされ突破されるアタッカーの標的にされやすくなるなどの項目が上げられます。近年多くみられる傾向としては、アジア諸国からのアタッカーが管理画面を突破し、リンク目的やサイトの書き換え目的などで攻撃を仕掛けてくるケースが多いです。作ったサイトが見れなくなってしまったり、故意にURLを書き込んだり書き換えられたりなど、なんでも好き放題やられてしまいます。最低限のセキュリティは必要と言えるでしょう。今回はWordPressセキュリティ面について詳しく説明するとともに、このページでは情報は新たに分かった事や変更した点があれば随時、更新して行きます。それでは始めていきます。2.WordPressのテーマ・プラグインは公式のものを利用するWordPress公式のテーマやプラグインというのは、WordPress管理画面内にて検索時に表示させるテーマ及びプラグインのことを指します。WordPress公式プラグインの場合は一度審査を通過してから公開されているものなので、脆弱性やバグが少ない傾向にあります。(完全にないとは言いきれませんので注意が必要です)使用しない方が良いプラグインとはWordPress公式で配布されていない非公式プラグインWordPressを形成するファイルへのアクセスを必要としているWordPress公式で配布されているが更新が止まっているものもちろん非公式プラグインでも完全にアウトというわけではありません。セキュリティのリスクを分かった上で利用していきましょう。WordPressの非公式テーマについてWordPressのテーマは日本国内のものでも、海外のものでも非常に非公式で配布されています。これは、WordPressのテーマへの公式審査が非常に厳しいため、多くのテーマ作成者はWordPress公式の証明を受けることなくフリーダウンロードや有料販売を行っているのが実情です。可能な限りはWordPress公式のファイルを利用したほうが無難ということになります。非公式が完全にダメだというわけではないので制作者やバージョンアップがしっかりと行われているテーマファイルをなるべく利用したほうが良いでしょう。3.WordPressは常に最新版にアップデートするWordPress本体だけではなく、以下のバージョンアップは必ず行っておくべきといえます。WordPress本体を最新バージョンにテーマが更新があれば最新バージョンにプラグインが更新があれば最新バージョンに上記の3つの項目を必ず最新バージョンにすることがセキュリティにつながります。WordPress、公式テーマ、公式プラグインはセキュリティを強化するため、その都度バージョンアップにて対策を行っています。最新バージョンは(既知の)脆弱性がなく、逆に古いバージョンは、古ければ古いほど、脆弱性は多くなります。使わないプラグインは停止ではなく削除する使っていないプラグインをそのまま停止して、WordPressに「停止」で残している場合もありますが、使わない場合は必ず「削除」しておきましょう。「削除」が必要かといいますと、プラグインに脆弱性が存在した場合、「停止」してあってもその脆弱性が狙われる可能性があるからです。4.WordPress管理画面「wp-config.php」への制限WordPress管理画面の「wp-config.php」とは、そのウェブサイトのデータベースアカウント情報が記載されているファイルです。そのため、「wp-config.php」がハッカーの手に渡ってしまった場合に、データベースを直接操作されてしまう危険性がでてきます。そのため以下のような対策が必要となります。「wp-admin」への外部からのアクセス制限アクセス制限をする方法としては、「IP制限」や「Basic認証」「Apache」「Nginx」等での制限と様々な方法がありますので自身のウェブサイトに合った制限を行いましょう。パーミッションについてファイルやディレクトリに対するアクセス権のことを言います。上記に設定をしておきましょう。5.ブルートフォースアタック対策を行うブルートフォースアタックとは、日本語に翻訳すると「総当たり攻撃」のことをいい、ユーザー名とパスワードのパターンを、片っ端から試していく、ハッキング手法のことをいいます。こちらのハッキングを経験したことがある方は、WordPressからログイン回数の超過メールなどが届いた場合はブルートフォースアタックを受けている危険性がありますので注意しましょう。ブルートフォースアタック対策は以下の通りです。パスワードの精度を上げるパスワードを簡単な設定にしておくと、ブルートフォースアタックで突破される可能性が高いため、必ず「弱いパスワードを使わない」ようにすることをお勧めします。(原理上ふつうのWordPressユーザーが心配する必要はないと思います。)どうしても心配される方に関しては二段階認証ワンタイムパスワード画像認証などを取り入れることで強化しておきましょう。アクセス制限するアクセス制限については、「4.WordPress管理画面「wp-config.php」への制限」の方法で行います。制限する場所に関しては以下の通りです。ログインページ管理ページへ上記2つをアクセス制限しておきましょう。付けてアクセスを行うと、投稿者アーカイブページが表示されます。表示されるのが基本的にユーザーIDとなるため危険であると良く書いてありますが、基本的にパスワードを解析されない限りはログインページを突破されることがないため不要と言えるでしょう。この部分が気になる方に関しては以下の処理を行ってみてください。);(上記設定で投稿者アーカイブが作成されずに404が返される様になります。)functions.phpを上書きした後は、最後に必ず「ダッシュボードの設定→パーマリンク設定」で(変更しないで)「更新」ボタンのみををクリックしておいてください。6.データベースユーザー権限の制限これはWordPressだけではなくウェブサイトの対策となります。ウェブサイトへの攻撃は以下のような攻撃方法が存在します。SQLインジェクションクロスサイトスクリプティング(XSS)Dos攻撃HTTPヘッダインジェクション記に挙げている攻撃に対して有効な「WAF(Webアプリケーションファイアウォール)」という仕組みもあります。「WAF」は、Webサイトへの攻撃に特化したファイアーウォールになり、各レンタルサーバーでも採用されています。「SQLインジェクション」や「クロスサイトスクリプティング」は、現在、最も一般的な攻撃手法になっているので、必ず対策しておきましょう。DELETE)が可能な権限のみが必要となります。いったデータベース構造の変更や管理のための他の権限は必要ありません。7.WordPressの管理画面とログイン画面のSSL化WordPressの管理画面とログイン画面を「SSL化」を行うことで、暗号化されるため、ログインやアカウント情報の特定を防ぐことが可能となります。GoogleでもHTTPS化に関しては推奨していることなので、セキュリティ面とSEO対策面も含めてSSL化は行っていた方が良いでしょう。Googleの検索エンジン順位に関しては「HTTPSに対応してても、HTTPSエラーの場合はSEO対策の恩恵は受けれない?」を一度確認しておきましょう。8.サーバー内部へのアクセス制限ハッカーの侵入経路はWordPressのようなCMSに限っていません。サーバーにファイルをアップロードする歳に受信を傍受されている可能性もあります。そのため、サーバー内部へのアクセスを特定のユーザーのみに制限をかけることも大事です。IPアドレスで制限してしまう方法が一般的といえます。その他注意点は以下の通りです。接続するレンタルサーバーはSFTPまたはFTPSを提供しているサーバーを選ぶFTPを使わないことがなぜ対策になるかというと、FTP通信は暗号化されず、パスワードも平文でサーバーに送られているからです。SFTPやFTPSを使うと、通信が暗号化されます。最近は価格帯の低いレンタルサーバーでも使えるようになって来ましたし、セキュリティ対策としてそもそもFTPサーバーを起動しないということも当たり前になってきたのではないかと思います。FTP通信が使えるサーバーであっても、使わないようにしましょう。9.乗っ取られた時の「もしも対策」についてハッカーにWordPressを乗っ取られてしまった万が一の時に以下の対策を行っておくことが大切です。アクセスされても書き換えさせない悪意のあるコードを設置されたり、ファイルを書き換えたりといった操作させないために管理画面内で出来ることに制限をかけましょう。テーマの新規インストールさせないテーマの編集をさせないプラグインの新規インストールさせないプラグインの編集をさせない投稿画面でPHPコードを入力実行させるようなプラグインは絶対入れないWidgetでPHPコードを入力実行させるようなプラグインは絶対入れない上記の点は守って制限をかけておきましょう。制限の方法については以下の通りです。テーマ・プラグインの制限の方法についてテーマ・プラグインの新規インストールと編集を行えないようにするには、「wp-config.php」に以下の定数を入れて制限します。ファイルを更新する様にしましょう。※テーマ、プラグイン編集のみを制限するのであれば、以下の通りです。wp-config.phpにdefine(‘DISALLOW_FILE_EDIT’,true);バックアップは必ず取っておくことWordPressのバックアップを取っておく項目は以下の3点になります。WordPressのフォルダ・ファイル一式WordPressで利用しているデータベースWordPress管理画面からエクスポートできる「各記事・固定ページ・カテゴリ・タグ等の情報(XML形式)上記は必ず定期的にバックアップを取得しておきましょう。ハッキングに関しては100%防ぐことは不可能だと考えます。そのため原状回復ができるようにバックアップは必須といえます。バックアップには色々な方法がありますが、基本的にプラグインを使ったバックアップが紹介されていますが、あまりお勧めできません。WordPressのバックアップ方法は「データベースのバックアップ」の記事を参考に行っていただくことが一番良い方法といえます。まとめWordPressは無料で利用できる利点や素人がウェブサイト構築に利用しやすいCMSとなっており便利度はますます向上しています。オープンソースなため脆弱性が発見されやすく、ハッカーの標的になりやすいというデメリットも存在します。そのデメリットを少しでも和らげるためにWordPressのセキュリティ対策は必須ではないでしょうか。WordPressに対して間違った知識を持たずに確実で有効な対策を講じてください。最後までありがとうございました。コメントをキャンセルメールアドレスは非公開情報です。当サイトにお越しいただいてありがとうございます。株式会社peko(ペコ)の代表をしております。趣味にならないように・・・企業や個人の方になるべく役に立つようなSEOの記事、Webマーケティング関連の記事を配信していきますので、よろしくお願いします。次の記事へ301、302リダイレクト違いとGoogleの見解SEOコンサルティングSNSもチェックpekoのLINEスタンプ!?株式会社pekoのマスコットキャラクターの「ペコ丸」LINEスタンプです。構造化データはGoogle検索ランキングに影響しない!レシピの「カロリー情報」で明らかに。構造化データはGoogle検索ランキングに影響しない!レシピの「カロリー情報」で明らかに。