・Wordpressのセキュリティ対策って何をすればよいの？
こんな疑問にお答えします。
WordPressは世界中で最も一般的に使用されているCMSの一つであり、多くのウェブサイトに使用されています。
しかし、その人気は、WordPressが攻撃者に対して脆弱であることを意味するんですよね。
このため、WordPressのセキュリティ対策は非常に重要。
対策としてはいくつかあります。
知っておくべし！
ということで、この記事では「WordPressのセキュリティ対策」について解説していきます！
WordPressのセキュリティ対策
目次
【解説】WordPressのセキュリティ対策
主なWordpressのセキュリティ対策がこちらの９つ。
- 最新バージョンを使用
- プラグインやテーマを最新に
- 不要プラグインやテーマを削除
- パスワードとユーザー名を複雑に
- バージョン情報を非表示にする
- セキュリティ対策用プラグインを利用
- wp-config.phpのパーミッション設定
- サブディレクトリにインストールする
- バックアップを定期的に取っておく
順に見ていきましょう！
1つ目がWordpressを最新のバージョンで使用すること。
バージョンを上げることで、脆弱性の対応に導いてくれるためです。
WordPressのアップデートには下記の２種類があります。
- メジャーアップデート（5.9 ⇒6.0）
- マイナーアップデート（5.9.1⇒5.9.2）
メジャーアップデートは手作業、マイナーアップデートは自動適用されるのが特徴です。
ただアップデートする場合はエラーなどが出たときの対策として、バックアップを取っておくのが大事。
自動アップデートは有効にしておくのが良いでしょう。
【安全】WordPressのアップデート７手順【注意点など】 WordPress自体だけでなく、プラグインやテーマも最新にアップデートするのが２つ目の対策。
理由は先ほどと同じで、脆弱性の対応などができるため。
こまめにアップデートすることが大事です。ちなみに何年も更新されていないプラグインは、あまり使用しないほうが良いでしょう。
利用していないプラグインやテーマを削除することが、対策の３つ目。
理由としては使ってないプラグインに、攻撃を受けてしまう可能性があるため。不正アクセスなどの危険性があります。
そのため不要になったプラグインやテーマは、消しておくのが良いですね。
４つ目が予測されないようなユーザー名とパスワードを使うこと。
例えば「admin」というユーザー名、「password」というパスワードを使っていたら、容易に予想できてアクセスできちゃいますよね。
そのため予想されないユーザー名、強度の高いパスワードを使うのがオススメ。
ちなみにユーザー名は投稿者アーカイブから推測が可能なため、プラグインなどを使って推測されないようにしておくのが良いでしょう。
【対策】WordPressのユーザー名を隠す方法【３選】 ５つ目がWordpressのバージョン情報を非表示にすることです。
実は検証ツールでmetaタグを見てみると、バージョン情報が表示されるんですよね。
<meta name=”generator” content=”WordPress 6.0″ />これがばれてしまうと、攻撃されるリスクが高まります。そのためバージョンを隠しておくべし。
バージョン情報の隠し方は下記をどうぞ。
【対策】WordPressのバージョン情報を非表示にする【JS・CSS】 セキュリティ対策用のプラグインを使うことが、６個目の対策。
ログインURLを変えたり、画像認証を追加したりとセキュリティをアップすることが可能です。
有名な無料プラグインがこちら。
- SiteGuard WP Plugin
- All In One WP Security & Firewall
- Akismet
【WordPress】SiteGuard WP Pluginの使い方・設定方法【プラグイン】 wp-config.phpというファイルには、データベースのパスワードなど重要な情報が記載されています。
このファイルに対するアクセス権を変えるため、パーミッションを設定するのが７つ目の対策。
644⇒400
400にすることで、所有者のみが読み込みできる状態になります。つまり外部から読まれるのを対策できます。
任意ではありますが、Wordpressをインストールするディレクトリを直下ではなく、サブディレクトリにするのが対策8個目。
理由はディレクトリ構造を複雑にすることで、セキュリティが上がるためです。
- 直下⇒https://ドメイン名/wordpressファイル/
- サブ⇒https://ドメイン名/サブディレクトリ/wordpressファイル/
できればサブディレクトリ名は予想されない名前にするのが良いですね。
ちなみにサブディレクトリを表示させずに、上階層で反映させる方法があるので、それも一緒に試しておくべし！
【WordPress】サイトURLからサブディレクトリを削除する方法 もしものためにバックアップを定期的に取るのが9個目の対策。
攻撃されて被害にあったとしても、バックアップがあれば復元することが可能ですからね。
無料プラグインを使えば、自動で定期的に取ってくれるので、是非やっておきましょう！
オススメのプラグインがこちら↓
【WordPress】BackWPupの使い方・設定方法【プラグイン】 【解説】WordPressのセキュリティ対策９つ【初心者必見】：まとめ
- 最新バージョンを使用
- プラグインやテーマを最新に
- 不要プラグインやテーマを削除
- パスワードとユーザー名を複雑に
- バージョン情報を非表示にする
- セキュリティ対策用プラグインを利用
- wp-config.phpのパーミッション設定
- サブディレクトリにインストールする
- バックアップを定期的に取っておく
もしものためにセキュリティ対策はしっかりしておこう！
