WordPressは非常に人気のあるコンテンツ管理システムですが、その分、攻撃者のターゲットにもなりやすいです。そこで今回は、初心者でも簡単に実践できるWordPressのセキュリティ強化方法を紹介します。これからご紹介するステップを踏むことで、あなたのサイトをしっかりと守ることができます。
目次
WordPressを最新バージョンに更新する重要性
WordPressのセキュリティを強化するための最初のステップは、常に最新バージョンを使用することです。更新を怠ると、既知の脆弱性を狙った攻撃を受けるリスクが高まります。
更新の手順とポイント
- WordPress本体、プラグイン、テーマの3つを常に最新バージョンに保ちましょう。
- WordPressのダッシュボードから「更新」をクリックして、手動でアップデートを行うことができます。
- 自動更新機能を利用すると、忘れずに更新ができます。
WordPressを最新バージョンに保つことで、知らないうちに危険にさらされるリスクを減らすことができます。定期的な更新は、セキュリティを維持するための基本中の基本です。
強力なパスワードと2段階認証の導入
WordPressのセキュリティを強化するためには、強力なパスワードと2段階認証を設定することが不可欠です。これにより、悪意のある第三者があなたのアカウントにアクセスするリスクを大幅に低減できます。
パスワードと2段階認証の設定方法
- パスワードは、文字数を12文字以上に設定し、数字、記号、大小の英字を組み合わせた強力なものにします。
- 2段階認証は、「Google Authenticator」や「Authy」などのプラグインをインストールして設定を行います。
強力なパスワードと2段階認証を設定することで、ログインセキュリティが飛躍的に向上します。たとえパスワードが漏洩しても、2段階認証で不正アクセスを防ぐことができます。
セキュリティプラグインを導入してサイトを保護
WordPressのセキュリティを強化するもう一つの方法は、セキュリティプラグインの導入です。これらのプラグインは、リアルタイムで不正アクセスや攻撃を監視し、サイトを保護します。
おすすめのセキュリティプラグイン
- Wordfence Security: マルウェアスキャン、ファイアウォール、リアルタイムの脅威防御を提供。
- iThemes Security: 管理者アカウントの保護やデータベースのセキュリティ強化をサポート。
- Sucuri Security: セキュリティ監査やブラックリストの監視などの総合的なセキュリティ対策。
セキュリティプラグインを活用することで、WordPressサイトを24時間365日守ることができます。これにより、安心してサイト運営ができるでしょう。
ファイルのパーミッションを適切に設定する
WordPressのセキュリティを強化するためには、サーバー上のファイルやディレクトリのパーミッションを適切に設定することが重要です。これにより、不正アクセスを防ぎ、サイトの安全性を高めることができます。
ファイルパーミッションとは？
- ファイルパーミッションとは、ファイルやフォルダ（ディレクトリ）に対するアクセス権限の設定のことです。誰が何をできるかを制御するために、各ファイルやフォルダに対して「読み取り」「書き込み」「実行」の権限を設定できます。
- 読み取り（Read, r）: ファイルの内容を読むことができる権限です。
- 書き込み（Write, w）: ファイルやフォルダに対して変更を加えることができる権限です。
- 実行（Execute, x）: ファイルを実行したり、フォルダ内に移動したりすることができる権限です。
ファイルパーミッションの数値表記について
- ファイルパーミッションは、通常3桁の数字で表されます。例えば、644や755といった数字です。各桁は、それぞれ「所有者」「グループ」「その他のユーザー」に対する権限を示しています。
- 数字の意味:
- 7: 読み取り + 書き込み + 実行（rwx）
- 6: 読み取り + 書き込み（rw-）
- 5: 読み取り + 実行（r-x）
- 4: 読み取りのみ（r–）
例えば、644は次のようになります：
- 6 (所有者) : 読み取り + 書き込み
- 4 (グループ) : 読み取りのみ
- 4 (その他のユーザー) : 読み取りのみ
推奨されるファイルパーミッション
- wp-config.php ファイル:
400または440
WordPressの設定情報が保存されている重要なファイルで、できるだけ厳しい権限に設定しましょう。所有者のみが読み取りでき、書き込みや実行は不可にします。 - .htaccess ファイル:
444
Webサーバーの動作を制御するファイルで、こちらも厳しい権限が推奨されます。読み取りのみ許可し、書き込みや実行を制限します。 - その他のファイル:
644
通常のファイル（テーマファイルやプラグインファイルなど）は、所有者に読み取りと書き込み、その他のユーザーには読み取りのみを許可します。 - ディレクトリ:
755
ディレクトリ（フォルダ）は、所有者がすべての操作を行え、その他のユーザーが読み取りと実行のみ可能な設定が一般的です。
ファイルパーミッションの設定方法
ファイルパーミッションは、FTPクライアントソフト（例: FileZilla）や、サーバーのコントロールパネルから設定できます。
- FTPクライアントを使用してサーバーに接続し、WordPressのファイルが格納されているディレクトリに移動します。
- 設定したいファイルやフォルダを右クリックし、「ファイルのパーミッション」や「属性の変更」を選択します。
- 数字でパーミッションを指定し、「適用」または「保存」をクリックします。
ファイルパーミッションのポイント
パーミッションが緩すぎると、攻撃者が悪意のあるコードを挿入したり、サイトを改ざんしたりするリスクが高まります。逆に厳しすぎると、WordPressの正常な動作が阻害される場合もあります。推奨設定を参考に、適切なパーミッションを設定しましょう。
ファイルパーミッションを適切に設定することは、WordPressのセキュリティを強化するために不可欠です。このシンプルな設定が、サイトを守るための大きな防御壁となります。ただし、専門知識を必要とする部分ではありますので、変更を行う際はバックアップを取得したり専門家に相談を行うなど、慎重に編集しましょう。
管理者ページのURLを変更してセキュリティを強化
WordPressの標準のログインURL（例: /wp-admin）は広く知られており、攻撃者にとっては格好の標的です。管理者ページのURLを変更することで、セキュリティを強化できます。
管理者ページのURLを変更する方法
- プラグイン「WPS Hide Login」をインストールし、ログインページのURLをカスタマイズします。
- カスタマイズしたURLは忘れないようにし、定期的に変更することも検討してください。
管理者ページのURLを変更することで、ブルートフォース攻撃を防ぎやすくなります。シンプルな対策ですが、非常に効果的です。
データベースのプレフィックスを変更する
WordPressのデータベースには、複数のテーブルが保存されています。これらのテーブルの名前には、初期設定として「wp_」というプレフィックス（接頭辞）が付いていますが、このプレフィックスを変更することで、セキュリティを強化することができます。
データベースのプレフィックスとは？
データベースのプレフィックスとは、WordPressが使用する各テーブルの名前の前に付けられる識別子のことです。たとえば、「wp_posts」や「wp_users」などのように、すべてのテーブル名に「wp_」が付いています。
このプレフィックスを「wp_」のままにしておくと、攻撃者がテーブル名を推測しやすく、SQLインジェクションなどの攻撃に対して脆弱になる可能性があります。プレフィックスを変更することで、セキュリティが向上します。
プレフィックス変更の手順
- データベースのバックアップを取る
- プレフィックスを変更する前に、必ずデータベース全体のバックアップを取ってください。これは、何か問題が発生した場合に、元の状態に戻すための重要なステップです。バックアップは、phpMyAdminやバックアッププラグイン（例: UpdraftPlus）を使って行うことができます。
- wp-config.php ファイルの編集
- WordPressのルートディレクトリにある「wp-config.php」ファイルを開きます。テキストエディタを使用して、「$table_prefix = ‘wp_’;」という行を探します。
- この「wp_」を別の任意の文字列に変更します。たとえば、「wp_」を「mysecureprefix_」のようなユニークな文字列に変更します。変更後は、次のようになります：
$table_prefix = 'mysecureprefix_';
- データベースのテーブル名を変更する
- 次に、phpMyAdminやMySQLコマンドラインを使用して、データベース内のすべてのテーブル名を新しいプレフィックスに変更します。phpMyAdminを使う場合は、以下の手順を行います：
- phpMyAdminにログインし、WordPressのデータベースを選択します。
- 変更したいテーブル名をクリックし、「操作」タブを選択します。
- テーブル名の「wp_」部分を新しいプレフィックス（例: mysecureprefix_）に変更し、保存します。
- これをデータベース内のすべてのテーブルに対して繰り返します。
- 次に、phpMyAdminやMySQLコマンドラインを使用して、データベース内のすべてのテーブル名を新しいプレフィックスに変更します。phpMyAdminを使う場合は、以下の手順を行います：
- その他のデータベースエントリを更新する
- 一部のWordPressプラグインや設定では、データベーステーブルのプレフィックスが直接参照されることがあります。プレフィックスを変更した後に、プラグインの設定や一部のオプションを手動で更新する必要がある場合があります。例えば、オプションテーブル（wp_options）やユーザーメタテーブル（wp_usermeta）に保存されているエントリを確認し、新しいプレフィックスに合わせて修正します。
プレフィックス変更のポイント
データベースのプレフィックスを変更することで、攻撃者がテーブル名を推測しにくくなり、セキュリティが向上します。ただし、変更にはリスクが伴うため、必ずバックアップを取り、慎重に作業を進めましょう。また、プレフィックス変更後にサイトが正常に動作することを確認してください。
データベースのプレフィックスを適切に変更することで、WordPressサイトのセキュリティを一層強化することができます。これにより、攻撃者からの不正なアクセスを防ぐ効果が期待できます。
ログイン試行回数を制限して攻撃を防ぐ
WordPressのセキュリティを強化するもう一つの重要な方法は、ログイン試行回数を制限することです。これにより、ブルートフォース攻撃からサイトを守ることができます。
ログイン試行回数を制限するプラグイン
- Limit Login Attempts Reloaded: 一定回数以上のログイン失敗があった場合に、IPアドレスを一時的にブロックします。
- 設定画面から、ブロック時間や試行回数の上限をカスタマイズできます。
ログイン試行回数を制限することで、不正アクセスのリスクを大幅に減らすことができます。シンプルながら非常に効果的なセキュリティ強化策です。
まとめ
セキュリティ対策については専門知識を必要とする場面を多くなってしまいますが、セキュリティ対策を含めたホームページ作成やWordPress作成について不安がある場合はプロにお任せください。ZeroStartではセキュリティ対策はもちろん、SEO対策などのサポートも行うホームページ作成が初期費用0円から行えます。WordPressのセキュリティを強化するためには、複数の対策を組み合わせて行うことが重要です。今回は、最新バージョンの更新、強力なパスワードと2段階認証、セキュリティプラグインの導入、ファイルのパーミッション設定、管理者ページのURL変更、データベースのプレフィックス変更、ログイン試行回数の制限といった基本的なセキュリティ対策を紹介しました。これらの対策を実践することで、WordPressサイトのセキュリティが大幅に向上し、安心してサイト運営を行うことができるでしょう。初心者でも簡単にできるこれらの方法をぜひ試してみてください。
