WordPress(ワードプレス)ですぐにやっておきたいセキュリティ対策について説明してます。

こんにちは！

今回はWordPress(ワードプレス）のセキュリティ対策についてです。

自分が新しい環境を作る際にすぐにやる、必須設定項目を書いておきたいと思います。

ダッシュボードで変更可能な設定と、プラグインを使う設定があります！

Index

ダッシュボードで変更できる対策
- ①パスワードを強力な物へ変更
- ②ユーザー名を分かりにくくし、ニックネームを設定する
プラグインで対策する内容
その他の対策
- サーバーのセキュリティ機能も設定
- より詳しい参考記事

ダッシュボードで変更できる対策

①パスワードを強力な物へ変更

ここはあえて書く必要はないのかもですが・・・

ダッシュボードで提案される強力な物に変えておきます。メモを取る事を忘れずに💦

↓ダッシュボードの「ユーザー」で新しいパスワードを設定できます。

②ユーザー名を分かりにくくし、ニックネームを設定する

ユーザー名は管理画面へのログインでパスワードとセットで使う物なので、

こちらも第三者に知られたくない要素になります。

adminやroot等、分かり易いユーザー名はそもそも設定しないようにします。
自分にしか分からない文字列にしておきます。

そして、ユーザー名について何も設定しない状態ですと、テーマによっては

「記事を書いた人」として投稿画面にユーザー名がそのまま表示されている事があります。

このような意図していないユーザー名の漏洩を防ぐために、ダッシュボードでニックネームを設定します。

ニックネームを設定し、ブログ上の表示名でニックネームを選択すれば、

投稿画面に表示されるのはユーザー名ではなくニックネームになります。

↓ダッシュボードの「ユーザー」の上部の名前の設定

※ユーザー名の漏えいについてはニックネーム設定だけでは不十分です。

以降のプラグインで対策する内容も是非合わせてご確認ください！

プラグインで対策する内容

SiteGuard(サイトガード)でログイン画面URL変更

WordPressのログイン画面はブラウザのアドレスバーに

ドメイン名/wp-login.php
※ドメイン直下にWordPressインストールした場合

と入力すると誰でも辿り着けてしまうのです。

WordPressをドメイン直下ではなく、サブディレクトリを作って
その下にインストールした場合は異なります。
【サブディレクトリ名がxxxの場合】
ドメイン名/xxx/wp-login.php
がログインURLとなる為、一応リスク減になります。あくまで一応ですが・・・
（ブラウザの解析ツールで画像パスを見るとサブディレクトリ名も分かる事が多い）
サブディレクトリにインストールする話はまた別記事にて(^^)/

↓WordPressのログイン画面例。

ログイン画面に誰でも辿り着ける事で何が怖いのかというと、、

例えば悪意のある第三者がユーザー名とパスワードの組み合わせの

ブルートフォースアタック（総当たり攻撃）を試みて、サイトが乗っ取られてしまう可能性があります💦💦

まずはこのログイン画面のURLを変更する事が必須と考えてます。

ログイン画面のURLを変更するプラグインはいくつか存在していると思いますが、

当サイトでは無料のSiteGuard WP Plugin（以下、サイトガード）を使用します。

プラグインの設定は簡単なので超初心者の方にもおススメです(^^)/

プラグインの新規追加で、キーワードに「SiteGuard WP Plugin」と入力

尚、サイトガードの仕様詳細は以下の作成元のページにて確認できます。

SiteGuard WP Plugin – WebセキュリティのEGセキュアソリューションズ

サイトガードをインストールすることで、ログインURLのドメイン名/wp-login.phpが
ドメイン名/login_<5桁の乱数>に変更されます。

この文字列は任意の物に変更可能なので、更に自分だけの文字列に変更するといいですね！

ななふ

変更後のログインURLは忘れずにメモーー！！

↓サイトガードのログインページ変更画面

また、オプションの

「管理者ページからログインページへリダイレクトしない」もチェックを入れて有効にします。

サイトガードで変更したログインページ名が分からなくなった場合

もしサイトガードで変更したログインページ名が分からなくなったら、

サーバーにFTPでアクセスし、WordPressインストールディレクトリにある

.htaccessファイルの中を見ると書いてあります！

※レンタルサーバーによってはFTPに入らずとも、サーバーパネル上で確認できる事もあります。

↓.htaccessの例：8行目のRewriteRule ^login_xxxxx(.*)$ wp-login.php$1 [L]のlogin_xxxxx

#SITEGUARD_PLUGIN_SETTINGS_START
#==== SITEGUARD_RENAME_LOGIN_SETTINGS_START

    RewriteEngine on
    RewriteBase /xxx/
    RewriteRule ^wp-signup\.php 404-siteguard [L]
    RewriteRule ^wp-activate\.php 404-siteguard [L]
    RewriteRule ^login_xxxxx(.*)$ wp-login.php$1 [L]

#==== SITEGUARD_RENAME_LOGIN_SETTINGS_END