WordPress サイトを安全にする方法

最近では、独自の WordPress サイトを立ち上げるのはとても簡単です。残念ながら、ハッカーがサイトを標的にし始めるのにそれほど時間はかかりません。

WordPress サイトを安全にする最善の方法は、WordPress サイトの実行に起因するすべての脆弱性を理解することです。次に、適切なセキュリティをインストールして、これらの各ポイントでハッカーをブロックします。

この記事では、ドメイン、WordPress ログイン、および WordPress サイトを保護するために利用できるツールとプラグインをより安全に保護する方法について説明します。

プライベート ドメインを作成する

最近では、利用可能なドメインを見つけて非常に安い価格で購入するのは非常に簡単です. ほとんどの人は、自分のドメイン用にドメイン アドオンを購入することはありません。ただし、常に考慮すべきアドオンの 1 つはプライバシー保護です。

GoDaddy には 3 つの基本的なプライバシー保護レベルがありますが、これらはほとんどのドメイン プロバイダーのサービスとも一致します。

• 基本: WHOIS ディレクトリから名前と連絡先情報を非表示にします。これは、政府がドメインの連絡先情報を非表示にすることを許可している場合にのみ利用できます。
• フル: 自分の情報を別の電子メール アドレスと連絡先情報に置き換えて、実際の身元を隠します。
• Ultimate : 悪意のあるドメインのスキャンをブロックし、実際のサイトの Web サイト セキュリティ監視を含む追加のセキュリティ。

通常、ドメインをこれらのセキュリティ レベルのいずれかにアップグレードするには、ドメイン リスト ページのドロップダウンからアップグレードを選択するだけです。

基本的なドメイン保護はかなり安価 (通常、年間約 9.99 ドル) であり、より高いレベルのセキュリティでもそれほど高価ではありません。

これは、スパマーが WHOIS データベースからあなたの連絡先情報をこすり取ったり、悪意を持ってあなたの連絡先情報にアクセスしようとする他の者を阻止する優れた方法です。

wp-config.php と .htaccess ファイルを隠す

WordPress を初めてインストールするときは、WordPress SQL データベースの管理 ID とパスワードを wp-config.php ファイルに含める必要があります。 

そのデータはインストール後に暗号化されますが、ハッカーがこのファイルを編集して Web サイトを破壊できないようにする必要もあります。これを行うには、サイトのルート フォルダーにある .htaccess ファイルを見つけて編集し、ファイルの末尾に次のコードを追加します。

# wpconfig.php を保護する

注文許可、拒否
全部否定する

.htaccess 自体が変更されないようにするには、ファイルの末尾にも次を追加します。

# .htaccess ファイルを保護する

注文許可、拒否
全部否定する

ファイルを保存し、ファイル エディターを終了します。

また、各ファイルを右クリックしてアクセス許可を変更し、すべてのユーザーの書き込みアクセスを完全に削除することも検討してください。

これを wp-config.php ファイルで実行しても問題は発生しませんが、.htaccess で実行すると問題が発生する可能性があります。特に、WordPress のセキュリティ プラグインを実行している場合は、.htaccess ファイルを編集する必要があります。

WordPress からエラーが発生した場合は、いつでもアクセス許可を更新して、.htaccess ファイルへの書き込みアクセスを再度許可することができます。

WordPress のログイン URL を変更する

すべての WordPress サイトのデフォルトのログイン ページは yourdomain/wp-admin.php であるため、ハッカーはこの URL を使用してサイトへのハッキングを試みます。

彼らは、多くの人が一般的に使用する典型的なユーザー名とパスワードのバリエーションを送信する、いわゆる「ブルート フォース」攻撃を通じてこれを行います。ハッカーは、運が良ければ正しい組み合わせが見つかることを願っています。

WordPress のログイン URL を非標準のものに変更することで、これらの攻撃を完全に阻止できます。

これを行うのに役立つ WordPress プラグインはたくさんあります。最も一般的なのはWPS Hide Loginです。

このプラグインは、WordPress の[設定]の下にある[全般]タブにセクションを追加します。

そこに、任意のログイン URL を入力し、[変更を保存]を選択して有効にします。次回 WordPress サイトにログインするときは、この新しい URL を使用してください。

誰かが古い wp-admin URL にアクセスしようとすると、サイトの 404 ページにリダイレクトされます。

注: キャッシュ プラグインを使用する場合は、キャッシュしないサイトのリストに新しいログイン URL を追加してください。次に、WordPress サイトに再度ログインする前に、必ずキャッシュを削除してください。

WordPress セキュリティ プラグインをインストールする

選択できるWordPress セキュリティプラグインはたくさんあります。それらすべての中で、正当な理由により、 Wordfence が最も一般的にダウンロードされるものです。

無料版の Wordfence には、バックドアの脅威、プラグインまたはサイト上の悪意のあるコード、MySQL インジェクションの脅威などを探す強力なスキャン エンジンが含まれています。また、DDOS 攻撃などのアクティブな脅威をブロックするファイアウォールも含まれています。 

また、ログイン試行を制限し、不正なログイン試行が多すぎるユーザーをロックアウトすることで、ブルート フォース攻撃を阻止することもできます。

無料版ではかなりの数の設定が利用可能です。小規模から中規模の Web サイトをほとんどの攻撃から保護するには十分すぎるほどです。

ブロックされた最近の脅威と攻撃を監視するために確認できる便利なダッシュボード ページもあります。

WordPress パスワードジェネレーターと 2FA を使用する

ハッカーがあなたのパスワードを簡単に推測できないようにすることは、最も避けたいことです。残念なことに、あまりにも多くの人が推測しやすい非常に単純なパスワードを使用しています。いくつかの例には、Web サイト名またはユーザー自身の名前をパスワードの一部として使用すること、または特殊文字を使用しないことが含まれます。

WordPress の最新バージョンにアップグレードすると、WordPress サイトを保護するための強力なパスワード セキュリティ ツールにアクセスできます。 

パスワードのセキュリティを向上させるための最初のステップは、サイトの各ユーザーに移動し、[アカウント管理] セクションまで下にスクロールして、[パスワードの生成]ボタンを選択することです。

これにより、文字、数字、および特殊文字を含む、非常に安全な長いパスワードが生成されます。このパスワードを安全な場所に保存します。できれば、オンライン中にコンピュータから切断できる外部ドライブのドキュメントに保存してください。

Log Out Everywhere Elseを選択して、すべてのアクティブなセッションが閉じていることを確認します。

最後に、Wordfence セキュリティ プラグインをインストールしている場合は、[2FA を有効にする]ボタンが表示されます。ユーザー ログインの 2 要素認証を有効にするには、これを選択します。

Wordfence を使用していない場合は、これらの一般的な 2FA プラグインをインストールする必要があります。

• Google 認証システム
• 二要素認証
• Rublon 2 要素認証
• Duo 二要素認証

その他の重要なセキュリティ上の考慮事項

WordPress サイトを完全に保護するためにできることがいくつかあります。

WordPress プラグインと WordPress 自体のバージョンの両方を常に更新する必要があります。ハッカーは、サイトの古いバージョンのコードの脆弱性を悪用しようとすることがよくあります。これらの両方を更新しないと、サイトが危険にさらされます。

1. WordPress 管理パネルで定期的にプラグインとインストール済みプラグインを選択します。新しいバージョンが利用可能であることを示すステータスについて、すべてのプラグインを確認します。

古いものを見つけた場合は、[今すぐ更新]を選択します。プラグインの自動更新を有効にするを選択することも検討してください。 

ただし、プラグインの更新によってサイトやテーマが壊れることがあるため、これを行うことに慎重な人もいます。そのため、ライブ サイトでプラグインの更新を有効にする前に、ローカルの WordPress テスト サイトでプラグインの更新をテストすることをお勧めします。

2. WordPress ダッシュボードにログインすると、古いバージョンを実行している場合、WordPress が古くなっているという通知が表示されます。

繰り返しますが、サイトをバックアップして自分の PC のローカル テスト サイトにロードし、実際の Web サイトで更新する前に、WordPress の更新によってサイトが壊れないことをテストします。

3. Web ホストの無料のセキュリティ機能を活用します。ほとんどの Web ホストは、ホストしているサイトにさまざまな無料のセキュリティ サービスを提供しています。これは、サイトを保護するだけでなく、サーバー全体を安全に保つためです. これは、他のクライアントが同じサーバー上に Web サイトを持っている共有ホスティング アカウントを使用している場合に特に重要です。

多くの場合、サイト用の無料の SSL セキュリティインストール、無料のバックアップ、悪意のある IP アドレスをブロックする機能、悪意のあるコードや脆弱性がないかサイトを定期的にスキャンする無料のサイト スキャナーも含まれます。

ウェブサイトの運営は、WordPress をインストールしてコンテンツを投稿するだけの単純なものではありません。WordPress Web サイトを可能な限り安全にすることが重要です。上記のヒントはすべて、あまり労力をかけずに行うのに役立ちます。