2020年1月18日ツイートシェアB!はてブポケットWordPressでできるセキュリティ対策まとめです。わたし自身はセキュリティに関する知識が高いわけではないですが、WordPressのイベントは定期的に出ていて、WordPress有識者から共有してもらった知識だけはあるって感じです笑WordPressのセキュリティ対策としては、とにもかくにも「最新のバージョンにしておく」ってところは共通してみんな言っていると思うので、サイト管理者はとりあえずここだけは最低限意識するといいかもしれません。おわりWordPressでできるセキュリティ対策WordPressでできるセキュリティ対策のまとめです。上から順番に重要度が高め(とわたしが思っている)なものを並べました。最新のバージョンにアップデートなにはともあれWordPressは常に最新の状態にしておきましょう。どのWordPressの有識者もほぼこれしか言っていません。WordPress本体やプラグインに更新があると、管理画面に更新メニューが登場するので、気づいたらアップデートしてあげてください。更新には2種類あって、マイナーアップデートとメジャーアップデート。マイナーは軽微なパッチを当てるような更新で自動で更新が走ります。メジャーアップデートは、テキストエディタがグーテンベルグに変わる!みたいな大きめのアップデートで管理者が手動で行うものです。マイナーアップデートを停止させているテーマがありますが、セキィリティ的な観点から言うと論外とのことです。いうことで、WordPress本体とプラグインは常に最新の状態に保つようにしましょう。パスワードは推測されにくい複雑なものにWordPressに限らずですが、、、パスワードは推測されずらい複雑なものにしましょう。WordPress管理画面のパスワードは自動で生成してくれるので、これをそのまま使えばいいかと思います。1passwordなどのツールを使えばパスワードをわざわざ覚える必要もないので、自分で暗記するって観点でパスワードを決めずにツールに依存させることを個人的にはおすすめします。PluginWordPress管理画面の管理画面は常にインターネット上にさらされているわけですね。基本的には、ドメイン名/wp-login.phpでアクセスできてしまうわけですが、これを変更することでログインURLが見つかるリスクが軽減されます。ログイン時にユーザ名、パスワードに加えて画像認証も加えることができます。これによって機械的なログインを防ぐことが可能です。その他に管理画面へのログイン履歴とか、不正なログインがあったときにアラートをメールしてくれたりします。Plugin」を導入しておくだけで安心感が半端ないです。野良テーマ、野良プラグインを使わないWordPressに関連する製品は誰でも開発が可能ですし、提供することに制限をかけていません(GPLライセンス)。世の中には良い製品も悪い製品も混ざって存在してしまっているわけです。世の中に出回っているWordPress製品を大きく2つに分けると、公式の審査を通っているものとそうでないものに分けられます。公式の審査に通っていなものを「野良テーマ」や「野良プラグイン」と呼ばれていたりします。公式のレビューではセキュリティ的に問題ありそうなところのチェック(代表的なところだとエスケープやサニタイズ)などを行った上での提供となりますが、野良テーマは作った人のスキルやセキュリティ意識に依存します(有料、無料問わず)。使うのはいいですが、自己責任で...といった具合ですね。理由がなければ公式から提供されているものから選ぶといいかと思います。https://ja.wordpress.org/plugins/サイトヘルスでチェック!WordPress5.1から導入された機能で、セキュリティやパフォーマンスに関する問題がないか診断してくれる公式のツールです。点数によるUIが今風でめっちゃいいなって思います。なんか100を目指したくなりますよね。アクセスできて、アクセスすれば診断して問題があれば指摘してくれます。表示としては以下のような感じでシンプルでめっちゃいいです。ピンバックを無効WordPressに古くから備わっているピンバックと呼ばれる機能があります。内部リンクを設置した時に自分のサイトに通知するというものです。トラックバックは知らない相手に通知するからまだ意味があるように思いますが、ピンバックって未だに必要性が分かりません...ピンバックで使われるxmlrpc.phpは攻撃の踏み台にされがちで、かつ普段使うことのない機能なので無効化しておいた方がいいです。基本的にレンタルサーバー会社はセキュリティ的にリスクがありそうな場所に対して、海外IPからのアクセス制限をしていることが多いです。先ほど紹介したピンバックのxmlrpc.phpとかですね。サーバー会社があえて設定している設定なので、よほどの理由がない限りは変更しないほうが安全です。海外でWordPressサイトを管理するときは、日本の固定IPが使えるサービスを使うことをおすすめします。(海外IPでのトラブル事例は割とよく耳にする...)わたしが海外にいた時はマイIPというサービスを使ってました。1ヶ月お試しで使えるので、ちょっとした旅行や出張なら実質無料です。マイIPの公式サイトはこちら定期的にバックアップを取っておこうセキュリティ対策を意識していても万が一はあります...。そんな時に、例えば「管理画面に入られて記事を全部削除された...」ってなってもバックアップば手元にあれば、一瞬で元に戻すことが可能です。定期的にバックアップをとっておくことをおすすめします。最低でも1ヶ月に1回くらいは取っておくと安心できるかもしれません。何をバックアップするかという所ですが、完全に手動でバックアップする場合は、以下の項目を意識してポチポチしたりコピペしたりする感じになります。記事のエクスポート管理画面での設定をメモ詳しくは以下の記事にまとめているので参考にしていただければと思います。WordPressのバックアップ方法と復元するまでの流れ(プラグインなし)上記の手順でやってもいいのですが、正直、手動でやるのは面倒くさいです。Migration」」というプラグインを使うことです。このプラグインを使えば1回ポチッとするだけで、上記のデータを全部まとめて取得することができます。Migration」の使い方は以下にまとめているので参考にしていただければと思います。リンクサイトの異変を検知する方法もう1歩だけ踏み込んで、サイトに異変があった時に検知するための方法です。Console(サーチコンソール)は、Google公式のサイト運営者のためのツールで、サイトの運用状態を監視してくれるものです。「数日中に404ページが増加した」など、サイトでの異変をメールなどで知らせてくれるので、確実に登録しておくといいかと思います。Plugin」プラグインの導入セキュリティ対策のところでも紹介しましたが、WordPressのログインを監視してくれる役割もあります。普段と違うような怪しいログインがあれば通知してくれるので、そういった意味でも導入しておくことをおすすめします。@haniwa008WordPressでできるセキュリティ対策まとめました。最新のバージョンにしておくことが一番のセキュリティ対策だと、WordPressコミュニティの方々はいつも言ってます。難しすぎる対策項目はないかと思います。リンクこのページが役に立ったらいいね!お願いします運営の励みになります...。前の記事ドメインの決め方と取得方法!SEOに優しいサイト制作を!はにわまんWordPressが好きなフリーのWebコーダー。300件以上のWordPressカスタマイズを対応してきました。