【WordPress】セキュリティを大幅強化するたった1つのプラグイン

【WordPress】セキュリティを大幅強化するたった1つのプラグイン

言うまでもないですが、Webサイトのセキュリティ対策は非常に重要です。

例えばWordPressサイトの場合、管理画面に入るためのユーザー名とパスワードが第三者に知られれば、サイト自体が乗っとられてしまいます。

• セキュリティ対策を簡単に行いたい
• セキュリティを強化したいが、使うプラグインを極力少なくしたい

このような方に向けて、この記事では「セキュリティを大幅強化するたった1つのプラグイン」とその使い方を紹介しています。

むやみやたらにプラグインを導入することは、かえって脆弱性（セキュリティホール）を増やすだけなので要注意です。

セキュリティ対策用プラグインは1つでも十分です。

もし、どうしてもプラグインは使いたくないという場合は、こちらの記事でユーザー名の漏洩を防ぐ方法について解説しているので、ご参照ください。プラグインは使いません。

セキュリティを大幅強化するプラグイン「SiteGuard WP Plugin」

プラグインをインストール

プラグイン新規追加の画面で、「siteguard wp」と検索します。

検索結果内にある「SiteGuard WP Plugin」というプラグインをインストールして有効化します。

SiteGuard WP Pluginの設定

SiteGuard WP Pluginの設定すべき項目は、画像の緑色のチェックマークが入った項目です。

もちろん、「セキュリティ最強！」にしたいなら、全ての項目を設定して有効にすべきですが、ログインに手間がかかるなど運用上不便になるため、セキュリティ面と運用面を考慮して画像の通りの設定にしています。

以降各項目の設定について、1つずつ細く説明していきます。

ログインページ変更

通常のログインページは、サイトURLの末尾に“/admin”を付けることで、誰でもアクセスできてしまいます。

そこで、ログインページのURLを変えることで、第三者が簡単にログインページにアクセスできないようにします。

ログインページのURLは、自分で好きなように設定できます。

画像認証

設定すると、ログインページに「ユーザー名」及び「パスワード」の入力欄に加えて、ひらがなまたは英数字が書かれた画像が表示されます。

WordPressの管理画面にログインするためには、ユーザー名、パスワード、画像内に書かれた文字を全て正確に入力しなければなりません。

この文字はコンピュータには解読できないため、パスワードの総当たり攻撃などを受けパスワードが漏洩したとしても、管理画面にログインはされません。

海外からの攻撃の対策として、ひらがなの方が英数字よりも多少効果的でしょう。

ログイン詳細エラーメッセージの無効化

ログインに失敗した際のエラーメッセージに、ログインのヒントとなるような内容が表示されないようにします。

ユーザー名、パスワード、画像認証のどれを間違えても同じエラーメッセージが表示されるようになります。

ログインロック

短時間の間に複数回のログインを試みるような機械的な動作があった場合に、ログインできないようブロックします。

インターバルなどの詳細設定はお好みでOKです。デフォルトの設定でも問題ありません。

ログインアラート

管理画面へのログインがあった場合に、登録されているメールアドレスに通知が届きます。

自分がログインの度にメールが届くので、やや鬱陶しいですが、
万が一不正ログインがあった場合、早期対処が何よりも被害の拡大を抑えるためのカギなので、許容しています。

XMLRPC防御

“XMLRPC”とは、簡単に言えばWordPressサイトの管理画面に入らず、遠隔で投稿記事を作成したり、操作する機能です。

プラグインによっては、この機能を使っているものもあるので、自分が使っているプラグインに合わせて設定しましょう。

ユーザー名漏えい防御

何もセキュリティ対策をしていないサイトでは、ユーザー名を簡単に特定することが出来るため、ユーザー名の漏洩を防止します。

詳細については、以下の記事をご参照ください。

更新通知

WordPressサイトにおいて、最も重要なセキュリティ対策は「WordPressやプラグインの更新」です。

基本的なことですが、依頼を受けていると、全く更新されていないサイトを時々見かけます。そういった場合には、更新するよう提案させていただいておりますが、管理が面倒な場合は外注するのも1つの手です。

Webサイトの運用管理や内容の更新などを丸投げしたい方は、問い合わせフォームよりご連絡ください。

まとめ

WordPressサイトのセキュリティ対策に関して、過剰にやる必要はありませんが、最低限の対策は必須です。

便利なプラグインをたった1つ入れるだけで完結するので、導入する価値は十分にあります。

最後にもう一度。WordPressサイトにおいて、最も重要なセキュリティ対策は「WordPressやプラグインの更新」です。

脆弱性が見つかった場合は、それを修正したバージョンが配布されますので、必ず定期的に更新しましょう。