2020/11/23 (更新日: 2021/01/12)

【簡単！WordPressのセキュリティ対策】 SiteGuard WP Pluginを設定する

本記事では、WordPressのセキュリティについて、初心者でも簡単にできる方法を解説します。

初心者の方は知らないこともあるのですが、WordPressはインストールして、そのままの状態で使い続けるとセキュリティ上の問題があり、危険があります。クライアントへの納品物などの場合は必ず把握しておかなければならないことなので、知らない方にはぜひ知っておいて欲しいことを記載しています。

本記事の内容

SiteGuard WP Plugin を設定してセキュリティを高める
ログインできなくなってしまったときは…
なぜWordPressは素のまま運用すると危険性があるのか

この記事を書いている僕は、エンジニア歴が約4年で、WordPressのテーマ作成については、新規作成とメンテナンスを含めると100サイト以上は対応した経験があります。

この記事を読むことによって、WordPressの基本的なセキュリティ対策が分かるようになります。

対応方法は「SiteGuard WP Plugin」という有名プラグインを使った方法をお伝えします。また後半でなぜ、WordPressは素のまま使うと危険なのかについても解説しています。

SiteGuard WP Plugin を設定してセキュリティを高める

結論としては、「SiteGuard WP Plugin」というプラグインをインストールするだけで、セキュリティが強力になります。設定は必要に応じて変更してもらえればと思いますが、基本的には有効化した後のデフォルト設定のままで問題ありません。

なぜこのプラグインを入れるかという理由は、WordPressは管理画面のログインページが攻撃の対象となりやすいためです。詳細は記事の後半で解説しています。

SiteGuard WP Plugin をインストール＆有効化する

管理画面にログインして、「プラグイン > 新規追加」へ進みます。

「SiteGuard WP Plugin」で検索するとプラグインが見つかるので「今すぐインストール」をクリックしてインストールします。

インストール後に「有効化」をクリックしてプラグインを有効にします。

これで設定は完了となります。

有効後にログインのURLが変更されるのでこれをメモするなどして、一旦、メモしておく方がよいと思います。(/wp-admin からは初期状態だとアクセスはできるので覚えなくても問題はないかとは思います)
例） xxx.com/login_53419
※ ログインURLが変わり、/login_xxxxx のランダムな数字が付くようになります。
※ /wp-login.php からはログインできなくなります

デフォルトの設定のままなら、/wp-admin か変更後のURLのどちらかでログインするようにしてください。

SiteGuard WP Plugin を有効化するだけで設定は完了

インストールした時点でログイン画面に画像認証が追加されるなどいくつかが有効になるので、これだけでもセキュリティはほぼ問題なくなります。

試しに一旦ログアウトしてから、「/wp-admin」(例: xxx.com/wp-admin )へアクセスすると、ログイン画面へリダイレクトされ、日本語の入力画面が増えていると思います。

この時点で「ログインURLの変更」や「日本語の画像認証」などがされているため、セキュリティ的にはほぼ問題なくなります。
この初期設定で問題ないので、基本的には変更しなくてよいと思います。

SiteGuard WP Plugin の設定について解説

さらに設定について、詳しく解説します。管理画面の左側メニュー「SiteGuard」の項目から詳細な設定や確認が可能です。

▼デフォルトのSiteGuard WP Plugin設定(ダッシュボード)

管理ページアクセス制限

デフォルトOFFで、通常はOFFのままでよいかと思います。ログインをしていないIPアドレスからの管理画面の操作を制御するものになります。
サーバーがApatcheでないかmod_rewrite(Apatcheのモジュール)が無効の時はONにしないでください。

ログインページ変更

名前の通り、ログインのURLを変更します。「wp-login.php」へのアクセスを元に戻したい場合は、OFFに変更して「変更を保存」ボタンを押して保存し直します。
もしサーバーがApatcheでない時、もしくはmod_rewriteが有効ではない時はOFFに変更してください。

画像認証

各ページに日本語入力の画像認証を入れるようにするかどうかです。
僕の経験からすると、攻撃をしてくるIPアドレスのほとんどが、中国とロシアからであるので、日本語の画像入力を入れるだけでセキュリティ的にはほぼ問題が無くなると思っています。
ここの項目は初期状態のまま、ONにすることをおすすめします。

ログイン詳細エラーメッセージの無効化

何が間違っているかのヒントを表示せずすべて同じエラーメッセージにします。ONのままで問題ないとは思います。

ログインロック

デフォルトONで、デフォルトのままでOKです。
管理画面にログインする際、ユーザ名とパスワードの組み合わせで間違えが一定回数以上あった時に、そのIPアドレスからのアクセスを一定期間、遮断するような機能です。ブルートフォースアタックに有効なのでONにしておくべきです。

デフォルト設定でよいですが、ロック時間だけ「5分」にしてもよいかもしれません。

クライアントに納品をする時は念の為、「セキュリティ対策で、ユーザ名とパスワードを◯秒間以内に連続で◯回間違えると、◯分間は管理画面にアクセスできなくなるので注意してください」というようなことを伝えておいてもよいかもしれません。
（デフォルト設定なら、通常は5秒間に3回間違える人とかはいないと思うので伝えなくても問題はないかとは思います）

ログインアラート

ログインの度に管理者権限で設定しているメールアドレスにメールで通知が届きます。通常はOFFで問題ないかと。