WordPressは、世界中で最も利用されているコンテンツ管理システム（CMS）ですが、その普及度の高さゆえに、悪意のある攻撃者にとってもターゲットとなりやすいプラットフォームです。サイト運営者にとって、セキュリティ対策をしっかりと講じることは、サイトを安全に運営し、ユーザーの信頼を守るために不可欠です。攻撃によってサイトがダウンしたり、データが漏洩するリスクを避けるためには、基本的なセキュリティ対策を徹底する必要があります。
WordPressサイトを保護するための対策には、簡単に取り組めるものから少し専門的な手順までさまざまなレベルがありますが、定期的な更新や強力なパスワード設定などの基本的な対策を怠ると、セキュリティの脆弱性が高まる原因となります。適切なセキュリティ対策を実施することで、サイバー攻撃からサイトを守り、安心して運営を続けることが可能です。
この記事では、WordPressで作られたサイトを守るために知っておきたい基本的なセキュリティ対策について、具体的な方法とその重要性を解説します。これらの対策をしっかりと実行して、WordPressサイトを安全に運営しましょう。
WordPressの更新を常に行う
コアアップデート: WordPressの開発チームは、定期的にセキュリティアップデートをリリースしています。サイトの安全を保つために、WordPressコアの最新版に常にアップデートしておくことが大切です。
プラグインやテーマの更新: 使用しているプラグインやテーマも定期的に更新されるため、これらも常に最新の状態に保つことが重要です。特に古いプラグインやテーマには、セキュリティ上の脆弱性が存在する可能性があります。
強力なユーザー名とパスワードの設定
強力なパスワード: 管理者アカウントには、できるだけ複雑で強力なパスワードを使用しましょう。大文字、小文字、数字、記号を組み合わせたパスワードを推奨します。
“admin”をユーザー名にしない: “admin”というユーザー名は攻撃者によく狙われるため、避けるべきです。最初に設定する際、または後からでも変更可能です。
2要素認証の導入: 2要素認証（2FA）は、ログイン時に追加のセキュリティレイヤーを提供します。通常のパスワードに加えて、モバイルアプリなどで生成される一時的なコードを要求することで、不正アクセスを防ぐことができます。
WordPressのログインページの保護
ログインURLの変更: デフォルトのログインURL（/wp-adminや/wp-login.php）はよく知られており、ブルートフォース攻撃の標的になりやすいです。ログインURLを変更するプラグインを使って、予期しないアクセスを減らすことができます。
ログイン試行回数の制限: ログイン試行回数を制限することで、ブルートフォース攻撃（パスワードを総当たりで試す攻撃）を防ぐことができます。例えば「Limit Login Attempts Reloaded」などのプラグインを使用すると、指定回数以上の失敗後にアカウントをロックアウトできます。
こんな記事もどうぞ
セキュリティプラグインの導入
WordPressには、セキュリティを強化するためのさまざまなプラグインがあります。これらのプラグインは、脆弱性のスキャン、ファイアウォール、ログイン監視など、多くの機能を提供します。主なセキュリティプラグインには以下のものがあります。
Wordfence Security: ファイアウォール、マルウェアスキャン、リアルタイムの攻撃防止などの機能を提供します。
Sucuri Security: サイト監視、マルウェアスキャン、ファイアウォール、ブラックリスト監視機能を備えたプラグイン。
iThemes Security: 二要素認証、ブルートフォース攻撃防止、ファイル変更の検知などの機能を持っています。
SSL証明書の導入
SSL証明書を導入して、サイトをHTTPSに対応させることで、データ通信が暗号化され、安全性が向上します。これにより、ユーザーが送信する情報（例えばログイン情報やクレジットカード情報）が盗聴されにくくなります。また、SSL対応はSEOにも有利に働くため、Googleの検索順位にも影響します。
データベースのセキュリティ強化
データベースプレフィックスの変更: WordPressのデフォルトのデータベースプレフィックス（wp_）は攻撃者に知られており、狙われやすいです。インストール時や後からでもプレフィックスを変更することで、SQLインジェクション攻撃のリスクを軽減できます。
データベースのバックアップ: 万が一攻撃を受けた際に復旧できるよう、定期的にデータベースのバックアップを行いましょう。「UpdraftPlus」や「BackWPup」などのプラグインを使用して、簡単にバックアップをスケジュールすることが可能です。
ファイル権限の設定
WordPressのディレクトリやファイルに適切な権限を設定しておくことも重要です。ファイル権限が不適切だと、攻撃者がファイルを改ざんしたり、悪意のあるコードを追加する可能性があります。
ディレクトリ権限: 755
ファイル権限: 644
XML-RPCの無効化
WordPressのXML-RPC機能は、リモートからの投稿や、モバイルアプリとの連携などに使用されますが、ブルートフォース攻撃のターゲットになることがあります。必要がなければ、XML-RPCを無効化するのが安全です。プラグイン「Disable XML-RPC」などを使えば簡単に無効化できます。
ファイルの編集を無効化
WordPressの管理画面からテーマやプラグインのファイルを編集できる機能は便利ですが、セキュリティリスクを増やすこともあります。攻撃者が管理画面に侵入した場合、これを利用して悪意のあるコードを挿入する可能性があるため、無効化しておくのが賢明です。wp-config.phpファイルに以下のコードを追加することで無効化できます。
define('DISALLOW_FILE_EDIT', true);定期的なセキュリティ監査
最後に、定期的にセキュリティの状態を確認することが重要です。WordPressセキュリティプラグインでスキャンを実施し、脆弱性がないかどうかをチェックします。また、Google Search Consoleなどを使って、サイトがマルウェアや攻撃を受けていないかの確認も行いましょう。
まとめ
WordPressのセキュリティ対策は、コアの更新やプラグインの管理など、基本的なメンテナンスから始まりますが、さらに強化するためにいくつかの追加対策が必要です。今回紹介した方法を実践することで、WordPressサイトを安全に保ち、サイバー攻撃から保護することができます。セキュリティは常に変化する脅威に対応するため、継続的に見直しと強化が必要です。