こんにちは、みよし之です。
今回は、ワードプレスのセキュリティ対策について、使い方や設定について記事を書きました。
セキュリティの設定ってどんなものがあるんだろう・・・
セキュリティといっても、ワードプレスに関連する対策は次のようなものがあります。
- レンタルサーバーのセキュリティ
- プラグインによるワードプレスのセキュリティ
ここでは、このような観点からセキュリティに関して、分かる範囲でお伝えしていきます。
レンタルサーバーのセキュリティについて
レンタルサーバーにもセキュリティを設定したりすることができます。
ワードプレスにおける不正アクセスも危険ですが、レンタルサーバーへの不正アクセス対策も重要です。
サーバー会社ごとに設定方法などが違うかもしれませんが、ここでは当サイトが利用しているエックスサーバーのセキュリティで確認しておきたい項目について説明します。
- ログインパスワード
- 二段階認証設定
- WordPressセキュリティ設定
- 迷惑メールフィルタ設定
- DKIM設定
- SPF設定
- SSＬ設定
- FTP制限設定
- WAF設定
このような項目を設定することができます。
たくさん設定する項目がありますが、ほとんどはOFF ONのような簡単に変更することで行えるものが多いです。
なお、ここで紹介している設定項目がすべてではありません。上級者用の設定もありますが、それについては気になった時にでも設定してみることをおすすめします。
ちなみに、各設定の具体的な方法は、エックスサーバーのサーバーパネルを開き、各項目をクリックすると画面右上に関連マニュアルが表示されます。
そちらでもご確認ください。
また、設定後は反映されているかどうかを確認しておきましょう。
ログインパスワードについて
ログインパスワードは、レンタルサーバーへログインする時に必要となるパスワードです。
当然ながら、他の人に推測されにくいパスワードを設定する必要があります。
簡単なパスワードを設定してしまった人は、パスワード変更をすることをおすすめします。
エックスサーバーパネル アカウントの項目にあるパスワード変更 新しいパスワードを入力
なお、パスワード作成や管理が面倒ですので、ブラウザなどのパスワードマネージャーを活用しましょう。
ただし、ブラウザでの管理は、どのようなことをすればパスワードが削除されてしまうのかしっかりと理解しておきましょう。
原理としては、履歴やCookieを削除する時にパスワードにチェックを入れた状態で削除してしまうと危険です。
また、プロファイルの削除も同様です。
他にもパソコンが壊れてしまった時などのことも考えておく必要があります。
二段階認証設定について
こちらは、できればおすすめしたい項目になります。
通常、ログイン画面からIDとパスワードが一致するとログインすることができます。
二段階認証とは、上記とは別に設定しているアプリなどからコードを入力してから、一致するとログインができるようになります。
例えば、ログインしようとするとスマホのSMSなどにコードが送られてくることを経験したことはありませんか。
これが二段階認証というわけです。
エックスサーバーパネル アカウントの項目にある二段階認証設定をクリック 利用する 変更する
エックスサーバーの二段階認証は、Google Authenticatorなどの認証コード生成アプリを使って行います。
スマホにアプリをダウンロードすることになりますので、設定する場合は、関連マニュアルを見て設定してみましょう。
二段階認証を設定するとスマホが手元にないとレンタルサーバーにログインできません。
どこかに置き忘れたなどの場合は、強制的に解除してログインすることになります。
なお、レンタルサーバーにログインができないだけで、ワードプレスのログインとは別なので覚えておきましょう。
WordPressセキュリティ設定について
こちらの設定は、すべて推奨の項目でOK。
サーバーパネル WordPressの項目にあるWordPressセキュリティ設定をクリック ドメインを選択
すべての項目を推奨にして変更します。
- 国外IPアクセス制限設定
- ログイン試行回数制限設定
- コメント・トラックバック制限設定
なお、関連マニュアルは必ず目を通しましょう。
なぜなら、セキュリティに関する知識が増えるからです。
これからブログを始めようとしている人やブログを始めて日が浅い人は、意味が分からないかもしれません。
ただ、関連マニュアルを見ることによって知識を増やすことができます。
私はブログを始めてから1年3ヵ月が経っています。
ブログを始めたときは不明だったことが、意味が分かることも増えてきました。
関連マニュアルを再度見てみると、こことこのプラグインが関係しているなどセキュリティなどに関する知識が増えているのを実感しています。
記事を書くのも大切ですが、このようなリスク対策関連の知識も重要なことです。
迷惑メールフィルタ設定について
こちらに関しては、すぐに設定しなければならないというわけではありませんが、できる限り早めに設定するようにしましょう。
ブログを運営していく中で、お問い合わせを作成する必要があります。
ContactForm7というプラグインを導入してお問い合わせを作成するのが有名ですが、お問い合わせを公開すると徐々にスパムメールが届くようになります。
私の場合は、2～3分おきにスパムメールが送られてきました。
このようなことがないように早めに設定しておくことをおすすめします。
ただし、高性能スパム設定をONにすればいいかというわけではありません。
なぜなら、この項目はエックスサーバーのWEBメールに対応しているものだからです。
そのため、WEBメールを作成していない場合は、この機能をONにしても意味がありません。
スパムメールに対しては、いろいろな対策があります。
その一例は、こちらをご覧ください。
SSＬ設定について
SSLとは、暗号化されているかどうかを表しているものです。
https://
http://
暗号化されていないサイトは、情報を盗まれる恐れがあります。
例えば、スマホで検索してから画面を開くと安全ではありませんと表示されていることはありませんか。
このサイトのURLを確認してみると、http://となっています。
このようなことから、SSL設定はONになっているかどうか確認する必要があります。
サーバーパネル ドメインの項目にあるSSL設定をクリック ドメインを選択
なお、こちらでONになっていることを確認した上で、.htaccess編集も確認してみましょう。
私の場合、コードを.htaccessに追加した記憶がありませんので、おそらく追加されていると思います。
詳しくは、関連マニュアルをご覧ください。
また、サーバーパネルでの確認後は、ワードプレス管理画面を開いて関連項目を変更しましょう。
ワードプレス管理画面左側にある設定をクリック 一般設定 URLを確認
- WordPressアドレス（URL）
- サイトアドレス（URL）
このように変更してから保存をしておきましょう。
FTP制限設定について
こちらは、必要な人だけ設定しておきましょう。
固定IPアドレスの人は設定しておくといいですよ。
固定IPアドレスか動的IPアドレスについては、次の手段で確認することができます。
- IPアドレスを調べるサイトから調べてみる
パソコンの電源を落としてもう一度調べてみる - プラグインSiteGuard WP Pluginなどのログイン履歴から調べる
このようなことから、よく調べた上で設定するかどうかを判断してください。
WAF設定について
こちらの設定は、すべてONがおすすめです。
サーバーパネル セキュリティ WAF設定 ドメイン選択 すべてONに変更
変更したら、確認画面に進み、設定するをクリックしてください。反映するまで時間がかかります。
なお、この設定をしたから安心できるというわけではありません。
設定をしていても不正アクセスの試みはありますよ。
そのため、さらにセキュリティを高めておくことが必要になります。
このように、エックスサーバーにおける設定でもたくさんあることが分かりましたでしょうか。
これからブログを始めてみようと思っている人にはおすすめできるレンタルサーバーになります。
エックスサーバー
プラグインによるワードプレスのセキュリティについて
ここでは、ワードプレスにおいてセキュリティ対策ができるプラグインを紹介します。
理想なのは、二段階認証ができるプラグインなのですが有料となっています。
そのため、最初は無料のプラグインから始めてみましょう。無料とはいえ有能なプラグインですよ。
- SiteGuard WP Plugin
国産ソフトウェア - XO Security
日本人が開発
この2つは、主にログイン関連のプラグインとなります。
ブログを運営していく中で怖いのは、不正なログインなのではないでしょうか。
そのなかでも、サイト内に悪意を持った改ざんが恐ろしいです。
- ログインページ変更
- CAPTCHAによる画像認証
- ログインロック
- ログインアラート
- XMLRPC防御
- ログイン履歴など
XMLRPC防御に関しては、ログインページ変更などを行っても、別の方面から不正アクセスされるのを防ぐのに有効な設定です。
詳しいことはこちらの記事をご覧ください。
なお、どちらのプラグインもおすすめですが、参考までにお伝えします。
- コメント機能がいらない人
- コメント機能が必要な人
プラグインやテーマの更新について
プラグインやテーマも常に最新のものに更新しておきましょう。
プラグインに関しては、自動更新を設定していれば更新してくれますので安心感があります。
一方で、もし自動更新を無効化している場合は、定期的に更新を行うことをおすすめします。
なお、緊急性の高いものは、レンタルサーバーから案内が来ることもあります。該当するプラグインを使っている人は直ぐに更新するようにしておきましょう。
長期間更新していないプラグインの場合は、ダウンロードしていいのかどうかを慎重に判断してください。
テーマについては、更新の案内が表示されることもありますし、案内がないこともあります。
こちらも定期的にチェックしておくようにすることをおすすめします。
ワードプレス管理画面左側一番上にあるダッシュボード 更新
このような手順で更新することができます。
まとめ
ブログを運営するにあたって、セキュリティ対策は重要なものです。
レンタルサーバーを契約する時や契約後は、どのようなセキュリティ対策が行えるかもチェックしておき、できるだけ早めに設定しておきましょう。
また、レンタルサーバーやワードプレスのログインパスワードも強固なものにしておくことをおすすめします。
もちろん、ログイン画面のセキュリティ対策ができるプラグインの導入も有効な手段です。
不正なアクセスには気を付けて信頼されるブログ運営を心掛けてください。
最後まで読んでいただきありがとうございました。
