WordpressWordPress(ワードプレス)は、Webサイトを作成するためのオープンソースのソフトウェアで、世界中の多くWebサイトがWordPressで作成されていると言われています。それゆえに、セキュリティの脆弱性を狙われやすいソフトウェアとも言えます。Windowsが狙われやすいのが、それだけWindowsが世界中で利用されているからと同じことですね。そのため、WordPressを利用してWebサイトを運営している場合、適切なセキュリティ対策を実施していないと、改ざんやデータ漏えいなどの被害を受ける可能性が高くなります。そこで、ここではWordPress環境で実施すべきセキュリティ対策について紹介します。各項目の詳しい設定方法はここでは割愛させていただきますが、項目ベースでのチェックにお役立てください。目次WordPress本体とプラグインは常に最新に信頼できるプラグインを利用する定期的にバックアップを取るセキュリティ系プラグインを導入する既定のユーザー名「admin」は使わない二段階認証を導入するログインページのアクセスを制限する管理画面からのファイル編集を禁止するユーザー名を隠すテーブル名を変更するWordPress環境へ安全に接続するファイルやディレクトリのアクセス権を設定するアクセスログを取るあとがきWordPress本体とプラグインは常に最新にセキュリティ対策の基本の一つに「ソフトウェアを常に最新に保つ」があります。WordPress環境でも同じことが言え、WordPress本体とプラグインは、可能な限り常に最新に保ちましょう。インターネットに公開している環境で、古いバージョンを使い続けることは危険性が高いので、特別な事情がない限り最新バージョンを使いましょう。バージョンアップによる動作への影響が心配な場合は、バージョンアップ前にバックアップを取ったり、事前にバージョンアップ後の動作確認がきる検証環境などを準備しておきましょう。信頼できるプラグインを利用するWordPressプライグインの中には、公式サイト(https://wordpress.org/)以外で提供されているプラグインがあります。提供元の信頼性が高い場合を除き、公式サイト以外からプラグインを導入するのは控えたほうがよいでしょう。公式サイトからプラグインを導入する場合も、プラグインの導入実績や更新頻度を確認し、導入実績が豊富で、定期的に更新されているプラグインを選択するようにしましょう。長期間更新されていないプラグインでは、セキュリティの脆弱性が放置されている可能性もあります。定期的にバックアップを取るWordPress環境では、プラグインの更新したらサイトが表示されなくなった、サイトを攻撃されデータを改ざんされたなど、不測の事態が起こる可能性があります。そのような場合に備えて、WordPress環境は定期的にバックアップしておきましょう。バックアップ方法としては、自分でバックアップツールを用意して実行する方法や、WordPressプラグインで対応する方法があります。個人的には「UpdraftPlus」などのWordPressプラグインで対応する方法が、カンタンでおススメです。WordPress.orgセキュリティ系プラグインを導入するWordPressにはセキュリティ関連のプラグインが多数あり、導入することでここで挙げている対策のいくつかを簡単に設定でき、セキュリティを強化できます。Firewall」が挙げられます。Plugin」は、国産のプラグインで管理画面も日本語表示なので、英語が苦手な方でも安心して利用できます。WordPress.org既定のユーザー名「admin」は使わないWordPressをインストールすると、デフォルトの管理者アカウントとして「admin」が作成されますが、WordPressへの不正ログインや、不正ログインの試行のほとんどがこの「admin」アカウントをターゲットとして行われています。面倒でもこの「admin」アカウントは削除して、新しい管理者アカウントを作成しましょう。二段階認証を導入するWordPressは、デフォルトでパスワード認証となっています。パスワード認証でも、複雑なパスワードを設定すれば、セキュリティを若干強化できますが、セキュリティ対策としては不十分です。パスワード認証に加えて、新たな認証を追加してセキュリティ強化しましょう。WordPressプライグインを利用して画像認証機能を追加したり、アクセスコードによる認証を追加する方法があります。不正アクセスのほとんどが海外からの接続であることを考えると、画像認証にひらがなを利用することも効果的です。ログインページのアクセスを制限するWordPressの管理画面のURLは、デフォルトでは「http://<ドメイン名>/wp-login.php」となっており、WebサイトがWordPressで作られていることがわかれば、ログイン画面のURLも容易に推測することができます。そこで、ログインページのURLを変更するか、ログインページへアクセスできるIPアドレスを制限して、容易にログインページへアクセスできないようにすることでセキュリティを強化できます。rebuilder」などのプラグインを利用するのがカンタンでしょう。WordPress.orgログインページへのアクセスをIPアドレスで制限する場合は、Webサーバーの設定で制限することが可能です。管理画面からのファイル編集を禁止するWordPressの管理画面にあるテーマエディタでは、デフォルトでファイル編集が可能ですが、管理画面からファイル編集が可能な状態だと、不正アクセス時にマルウェアを埋め込まれたりする危険性があります。そこで、ファイル編集はSSH接続など別の接続方法で実施するようにして、管理画面からの編集を禁止することで、セキュリティを強化できます。設定方法は「wp-config.php」に以下を追記します。);ユーザー名を隠すWordPressには「投稿者アーカイブ」というページがあり、投稿者ごとの記事一覧が表示できます。デフォルトのままだと投稿者(管理者)のユーザー名が、URLなどから容易に確認できるため、不正アクセスの危険性があります。そこで、次のような対策を行うことで、セキュリティを強化できます。投稿時に使用するユーザーは管理者ユーザー以外にする記事に表示されるユーザー名をニックネームに変更する投稿者アーカイブのURLを変更する投稿者アーカイブを無効化する個人サイトであれば、投稿者アーカイブを無効化するのがおススメです。テーブル名を変更するWordPressでは、データベースのテーブル名の接頭語にデフォルトで「wp_」が使用されますが、デフォルトのままだと容易にテーブル名が推測でき、SQLインジェクションなどのデータベースへの不正アクセスの危険性があります。そこで、テーブルの接頭語を任意の文字列に変更しておくことでセキュリティを強化できます。テーブル名の接頭語は、WordPressインストール時であれば、セットアップ画面で変更することができます。WordPressがインストールされている環境では、WordPressプラグインなどを使って接頭語を変更することができます。WordPress環境へ安全に接続するWordPress環境へファイルなどを転送する場合、FTPなどデータが暗号化されていない接続方法は、通信内容をのぞかれる危険性があります。インターネットカフェなど信頼できないネットワークを経由して接続する場合は特にです。そこで、WordPress環境へファイルなどを転送する場合は、接続経路が暗号化されているSSH接続、またはSFTP接続を利用することで、セキュリティを強化できます。ファイルやディレクトリのアクセス権を設定するルートディレクトリや「wp-config.php」など、WordPressを構成するファイルやディレクトリには、適切なユーザーに適切な権限(読み取り・書き込み・実行)を付与します。どのように設定するかは、以下の公式サイトが参考になるでしょう。日本語版アクセスログを取るコンピューターシステムに対してどんなにセキュリティ対策を行っても、完全にセキュリティ事故を防ぐことはできません。それは、WordPress環境でも同じです。そこで、万が一何らかのセキュリティ事故が起こった場合でも、素早い対応や対策が行えるよう、アクセスログを取っておきましょう。アクセスログは、WordPressプラグインで対応するか、Webサーバーのログで記録することができます。あとがきここで紹介した対策がすべてではありませんし、すべてを実施する必要もありませんが、稼働環境に応じた適切な対策を行いましょう。WordPressプラグインは導入しすぎると、サイトの動作が遅くなったり、予期せぬ動作を引き起こす原因にもなりますので、どの対策をプラグインで対応するかをよく検討しましょう。記事が役立ったらシェアしてくれるとうれしいです。あなたにおすすめのコンテンツauthor関連記事WordPressで誤ったアドレス設定で管理画面やWebサイトが表示されなくなった時WordPressに誤った設定をすると管理画面やWebページが表示されなくなることがあります。ここでは、管理画面の「設定」>「一般」...Adsenseを利用しているなら、カスタム検索エンジンを設置してさらなる収益を!Webサイトを運営しているなら、自分のサイトを効率よく利用してもらうためにサイト内に検索ボックスを設置している方もおられると思います。...WordPressでサイトアイコン(ファビコン)を作成・設置する方法サイトアイコン(ファビコン)とは、ブラウザのアドレス欄・タブの端・ブックマーク項目の先頭・デスクトップ上に置くショートカットアイコンに使...WordPressでログインしないとサイトを見れないようにするWordPressで作ったWebサイトを、ログインしたユーザーのみ閲覧できるように制限をかけたい場合があります。構築途中のサイ...WordPressでごみ箱の保存期間を変更したり、自動削除を停止する方法WordPressで投稿を削除する場合、デフォルトの動作としては、投稿がいったんゴミ箱に移動されて一定期間の後に自動削除されます。Edgeを快適に利用するための設定PowerShellでリモートマシン(Windows10)を操作する方法コマンドでWindows10のネットワーク設定を行う方法ワークグループ環境でWindows10マシンの管理共有にリモートからアクセスする方法Windows10にリモートデスクトップ接続できないときにチェックすることWindows10でリモートデスクトップをコマンドで有効化する方法(PowerShell)Windows環境で利用できるMicrosoft製負荷ツール(2020年版)Windows10で定型的なメールや文章を効率よく作成する方法3選カテゴリーAndroidGoogleChromeLinuxWebサービスWeb全般WindowsWordpressセキュリティ早見表プロフィールぱるむ長年のサーバーエンジニアとしての業務経験を基に、Windows、Linux、WordPressなどの便利な機能、仕事を効率化する使い方、新しい機能などを紹介しています。気になることがあれば、こちらからお問い合わせください。4thsight.xyz.HomeWindowsLinuxAndroidGoogleChromeWordPressWebサービスセキュリティWeb。