各種セキュリティ関連のプラグインを利用する。Attempts]を使う。スパム防止:プラグイン[Akismet]を使う。テーマの品質管理:プラグイン[Theme-Check]を使う。フォルダのルートに「index.php」or「index.html」等が無い場合は設置する。「wp-config.php」のアクセスを保護する。定期的にバックアップを実施する。ユーザーID『admin』を使用せず、独自のものに変更。パスワードを複雑な文字列にする。以前、WordPressのデフォルトユーザ名「admin」をそのまま使っているサイトが集中してハッカーに狙われ、大変な被害が拡大したことがありました。最初にWordPressをインストールすると、デフォルトのユーザ名は「admin」になりますが、巷ではデフォルトのユーザ名のまま放置している人が多かったようで、このサイトを対象に、総当たりパスワード解読(ブルートフォースアタック)をかけて、管理画面を乗っ取るという攻撃が多発しました。一度設定されたユーザ名は後から変更できないので、「admin」はそのまま放置されがちです。「admin」じゃなくても、推測されやすいものは簡単に見破られてしまいます。いったサイトは、パスワードも覚えやすいように、「12345」や「aaaaa」のような簡単なものに設定されていることが多いようで、この程度ならほんの数分、もしくは数秒で解読されてしまいます。ユーザ名が「admin」のままのサイトは少ないと思いますが、ユーザ名はともかく、せめてパスワードぐらいは複雑なものに変更しておきましょう。重要なファイルのパーミッションを変更する。パーミッションを『604』に、[wp-config.php]のパーミッションを『400』に設定しましょう。パーミッション変更後に[wp-config.php]を修正する場合は、一度パーミッションを元に戻してから作業をしてください。[.htaccess]も同様です。フォルダ内に「index.php」または「index.html」等を設置する。フォルダのルートに「index.php」または「index.html」等が無い場合は設置し、フォルダ内のファイルを一覧で見ることができないようにします。各種セキュリティ関連のプラグインを利用する。Attemptsは、WordPressのログイン画面に対するログイン試行回数を制限できるプラグインです。ログイン認証に複数回失敗すると、ログイン画面を一定時間ロックし、管理画面への不正ログインを防ぐ効果があります。ログイン試行回数やログイン画面のロック時間は、プラグインの管理画面で自由に設定できます。このプラグインを利用すると、パスワード総当り攻撃(ブルートフォースアタック)による不正アクセスを防止できます。プラグインの管理画面でログイン試行回数やログイン画面をロックする時間を設定できます。WordPressのログイン画面に対するセキュリティ対策を何もしていない場合は、このプラグインを活用しましょう。Boneは、WordPress管理画面のログイン履歴を記録して閲覧できるプラグインです。ログインに成功した履歴とログインに失敗した履歴が記録されます。外部の誰かがあなたのWordPressで運営するWebサイトを乗っ取ろうとしている場合、管理画面のログイン履歴にログインエラーの履歴が残るので、悪意のあるユーザーを発見しやすくなります。WordPress管理画面に別の接続元IPアドレスから接続があった場合、ダッシュボードに警告が表示され、自分(管理者)以外のユーザーがログインしたことを知ることができます。あなたがWordPressを利用して運営しているWebサイトは、あなたが知らないだけで、実は、毎日のように誰かがログインしようとして、ログインエラーが発生しているかもしれません。このプラグインを利用し、どのくらいログインエラーが発生しているか把握しておきましょう。Bone]にはXSS脆弱性が含まれています。今スグ利用を止めましょう。Bone]にXSS脆弱性が発見されたので使用を止めましょう。スパムコメント対策:AkismetWebサイトを運営していると、コメント欄にスパムコメントが毎日のように投稿されるようになります。スパムコメントは、フィッシングサイトや悪意のあるコードが書かれたページに誘導するURLが投稿される場合があります。スパムコメントには悪意のあるコードが記述されているケースもあり、放置するとセキュリティ的にも良くないので、スパムコメント対策は必ず行いましょう。Akismetは、Webサイトのコメント欄に投稿される迷惑なスパムコメント(迷惑なコメント)をフィルタリングし、除去できるプラグインです。このプラグインは、初期状態からインストールされています。APIキーを取得する作業が少し面倒ですが、非常に役に立つプラグインなので活用しましょう。「AIPキー」を取得する際に、非商用のWebサイトを運営する個人の場合は、初期設定で支払いが有料になっていますが、左にバーをスライドすると、0ドルに変更できます。寄付は任意なので、個人の非商用利用の場合は、無料で利用できます。商用サイトの場合は有料です。ちなみにAkismetは、単体で利用するのではなく、他のプラグインとの併用でスパムコメントがさらに減らせます。Theme-CheckWordPressのメリットの1つは、世界中のデザイナーやプログラマーの方達が生み出した高品質なテーマファイルを無料で使えること。中には悪意のあるコードが埋め込まれている劣悪なテーマファイルが存在するケースもあります。テーマファイルの中に含まれている危険なコードを事前にチェックしてくれるツールが「Theme-Check」です。完全に悪質なコードをカバーして見つけられるとは限らないので盲信はNGですが、有料・無料を問わず配布されているテーマを使う際には必ずこのプラグインで安全性を確認しましょう。「wp-config.php」のアクセスを保護する。[.htaccess]に下記のコードを記述して「wp-config.php」へのアクセスを拒否します。all</Files>このとき、念には念を入れて「wp-mail.php」「install.php」「xmlrpc.php」へのアクセスも同様に拒否したい場合は前述のコードを次のように加筆します。all</FilesMatch>定期的にバックアップを実施する。サーバーがクラッシュしてデータが失われてしまうことがあっても、バックアップがあれば、一先ずは心の平静を保てます。更新頻度の高いブログサイトであれば、最低でも週に1回。その他のコーポレートサイトなどでも、毎月1回はバックアップを実施したいものです。まとめセキュリティ対策は終わりのない戦いです。ここで紹介した情報はまだほんの一部。オンズ株式会社オンズ制作チーム。ウェブサイト制作、デザイン制作でお悩みの際はお気軽にご相談ください。https://on-ze.comTwitterFacebookFeedlyLINEこちらの記事もいかがですか?アナタにオススメ!同じカテゴリーの他の記事です。【WordPress】プラグイン[Jetpack]使用時に自動的に挿入されるOGPタグを表示されないように設定する方法。【WordPress】bodyタグに異なるclassを付与してくれる[body_class]の便利な使い方。【WordPress】ワードプレスから送信されるメールのアドレスと名前を変更する方法。【WordPress】プラグイン[Jetpack]使用時に自動で読み込まれるスタイルシートを削除する方法。【WordPress】キャッシュを有効化しつつ[CSS]や[JavaScript]ファイルの変更を確実に反映させる方法。