【2020年版】WordPressのセキュリティを強化しよう！

にゃんばんわ、ぽじねこです。

今年のGWは外出自粛モードなので
家にいる間にブログのセキュリティについて
見直してみるというのはいかがでしょうか。

この記事はWordPressでブログ運営している人向けです

まず、WordPressでブログ運営していると
どういったセキュリティリスクに晒されるのか
おさらいしていきましょう。

WordPressのセキュリティリスク

WordPressはオープンソースのプログラムなので
基本的に素のままで使っていると構造がバレます。

脆弱性がある部分に対して
不正ログインなどの攻撃を受けやすく
これに対して運営者は対策を打っていく必要があります。

まずはセキュリティ診断を使って
自分のブログに脆弱性がないか確認しましょう。

WordPressのセキュリティを強化する

WordPressのログインページのURLを変更する

真っ先にやるべき対策としてはこれです。

なぜなら、デフォルトの状態では
ブログにログインするURLがバレバレなので
ブルートフォースアタックの入り口はこちら
という感じで、攻撃してくれと言ってるようなものだからです。

https://自分のブログドメイン/wp-admin

そこで、以下のプラグインを導入して
ログインURLを変更しておきましょう。

【ブルートフォースアタックとは】
別名「総当たり攻撃」
ログインページでIDとパスワードを
順番に入力していくことで強引にログイン試行する
古典的だが侮れないサイバー攻撃のこと。

プラグイン「SiteGuard WP Plugin」を使う

まずはWordPressにインストールするだけで
セキュリティ向上できるお手軽プラグイン
「SiteGuard WP Plugin」を使ってみましょう。

フェールワンスはデフォルトではOFFですが
二段階認証などを導入しないのであれば
これをONにしておくことで総当たり攻撃を
弱体化できるところもポイントです。

WordPressのアップデートを定期的に行う

管理画面のダッシュボードに行くと
サイドバーに「更新」という欄がありますが
更新情報があるときには数字アイコンがつきます。

レイアウト崩れやエディタの違いなどから
アップデートをためらう人もいるかもしれませんが
WPのバージョンアップは脆弱性対策も含まれますので

しっかりとアップデートを定期的に行いつつ
不便になってしまう部分が発生してしまうのであれば
そこはカスタマイズやプラグインで補いましょう。

ユーザー名を「admin」のままにしない

WordPressはデフォルトでは
アカウントのユーザー名が「admin」となっており
このまま利用することはとても危険です。

ユーザー名は変更ができないため
以下の手順でユーザー名を取り替えておきましょう。

ユーザー⇒新規作成⇒古いユーザーの削除

投稿者アーカイブを無効化しておく

ユーザー名を変えたところで
投稿者アーカイブが公開されていた場合
やっぱりユーザー名はバレてしまいます。

サイトURL/?author=1

無対策の場合は記事の最後に
ユーザー名が書かれてしまうこともあり
こちらの対策を先に行ってから
新しいIDに変える手順がおすすめです。

ここまでしないとパスワード総当たりだけの
ブルートフォースアタックによって
不正ログインされる可能性がグッと高まるので
面倒だとは思いますが我慢して設定しましょう。

「Google Authenticator」で二段階認証にする

WordPressにログインする際に
「Google Authenticator」を導入して
既存のIDとパスワードの入力だけではなく
スマホアプリ上のワンタイムパスワードを入力しないと
ログインができなくなるという設定です。

まとめ：基本的なことはここまで

他にもデータベースの不正操作をする
「SQLインジェクション」などの攻撃も有名ですが
WAF対策をするとブログに不具合がでるケースも多く
ここから先はサーバ環境など含め個々の対策となります。

あとは、自分のPC自体にバックドアを仕込まれるなど
不正アクセスの入り口を与えないように
身近なところから対策を打っていきましょう。

かしこ。