WordPressを使っているなら、サイトのセキュリティ対策は欠かせない重要なポイント。
WordPressは世界中で多くの人が利用しているため、悪意のある攻撃者に狙われやすく、オープンソースという特性上、システムの中身が誰でも見られるため、悪用されるリスクも。
そのため、初期設定のままではセキュリティが不十分で、自分のサイトは自分で守る対策が必要です。
そこでおすすめなのが、無料で利用できるプラグインSiteGuard WP Plugin。
このプラグインを使えば、ログインページの保護や管理画面へのアクセス制限、不正なログインを防ぐといった、複数のセキュリティ対策が可能になります。
WordPressは無料ブログとは違い、セキュリティ対策は自分で行う必要があるため、こうしたプラグインを活用することがとても大切です。
このプラグインは、初心者でも使いやすく、多方面からサイトを守ってくれるのが特徴です。ネット上の危険から自分のサイトを守るために、ぜひ活用してみてください。
この記事では、SiteGuard WP PluginがどのようにしてあなたのWordPressサイトを守るのか、詳しく紹介していきます。
WordPressサイトが抱えるセキュリティリスク
まず最初に、WordPressではどんなセキュリティリスクがあるのか見てみましょう。
サイトの改ざん
WordPressのサイトが改ざんされると、あなたの知らないうちにサイトの内容が変わってしまいます。具体的には、こんなことが起こりえます。
- 見慣れない広告が表示される: あなたが置いた覚えのない広告が突然表示されることがあります。
- 不正なリンクの挿入：アダルトサイトに強制リダイレクトされる。
- サイトが乗っ取られる: あなたのサイトが、まったく違うサイトに変わってしまうことがあります。
- 個人情報が盗まれる: あなたのサイトにアクセスした人の情報が、悪意のある人に盗まれる可能性があります。
スパムコメントの増加
WordPressのサイトにスパムコメントが増えると、こんな困ったことが起こります。
- コメント欄が荒れる: 不適切なメッセージや無関係な広告リンクを大量に投稿され、ブログ記事が台無しになる。
- サイトの表示が遅くなる: たくさんのスパムコメントがあると、サイトの表示速度が遅くなります。
- サイトの評判が下がる: スパムコメントが多いと、訪問者が不快に感じ、あなたのサイトが信頼できない。
- 悪質な広告やリンクが表示される: スパムコメントの中には、悪質な広告やウイルスが含まれている場合もあり、ユーザーが危険にさらされる可能性。
ハッキングによるデータ漏洩
WordPressのサイトがハッキングされると、あなたの大切なデータが盗まれてしまうことがあります。
- 個人情報が盗まれる: あなたのサイトに登録利用しているユーザーのメールアドレスやパスワードなどが、悪意のある人に盗まれてしまうことがあります。
- クレジットカード情報が盗まれる: あなたのサイトで決済機能を使っていた場合、お客様のクレジットカード情報が漏洩してしまう可能性があります。
踏み台
踏み台 というのは、あなたのWordPressサイトが悪意のある人にハッキングされて、他の攻撃対象に対する攻撃拠点として利用されることです。
気づかないうちに他のサイトやユーザーに被害を与えてしまい、最悪の場合、あなた自身が責任を問われる可能性もあります。
- 他のサイトへの攻撃が行われる: あなたのサイトが知らないうちに、他のサイトへの攻撃に使われてしまう。
- スパムメールが大量に送られる: あなたのサイトから、大量の迷惑メールが送られる。
- ウイルスやマルウェアが拡散される: あなたのサイトが、ウイルスやマルウェアを拡散するための基地になる。
ランサムウェア攻撃
ランサムウェア攻撃とは、ハッカーがあなたのサイトを乗っ取り、データを暗号化してアクセスできなくする攻撃です。まるでサイトを人質に取られたような状態になり、元に戻す代わりに身代金を要求します。
つまり、サイトが使えなくなり、業務が止まるだけでなく、金銭を支払わないと大事なデータが戻らないという非常に深刻な状況に陥ります。
「ソフトウェアの脆弱性が発見された」などと聞いたことはありませんか。脆弱性とは、簡単に言えば、システムやアプリケーションに潜む「抜け穴」のことです。この抜け穴が、悪意のある人物に発見されると、システムに不正アクセスし、様々な悪用を行う可能性があります。脆弱性は、通常のセキュリティの不備やプログラミングミスによって意図せず作り出されてしまうことがあります。そのため、常に警戒と対策が必要なのです。
セキュリティ対策の重要性
WordPress運用では、サイトの安全を守り、ユーザーの信頼を維持するためには、セキュリティ対策は不可欠です。
適切な対策を講じないと、前述の通り、ハッキングやデータ漏洩、サイトの改ざんなどのリスクが高まり、結果としてビジネスや個人の信用が損なわれ、大きな損害を受ける可能性があります。
ユーザーと顧客の信頼を守るために、また、長期にわたってサイトを安定して運営し続けるためにも、セキュリティ対策をしましょう。
セキュリティ対策はいくつかありますが、セキュリティのプラグインをインストールしてサイトを保護することが効果的です。そこで、セキュリティプラグインSiteGuard WP Pluginをご紹介します。
セキュリティ対策プラグインSiteGuard WP Plugin
あなたのWordPressサイトのセキュリティ対策と検知の防犯アラームのようなもの。
開発元は日本企業なので、全ての機能が日本語で説明されていて、無料で初心者でも簡単に使うことができます。
このプラグインの主な機能は次の通りです。
SiteGuard WP Pluginの主な機能
SiteGuard WP Pluginは、多機能なのに使い方がとても簡単。難しい設定なしで安心して使えます。
1．管理ページへのアクセス制限
ログインしていないIPからWordPress管理ページへのアクセスを防ぎます。
2．ログインページ変更
不正ログインの試行を防ぐために、ログインページのURLを変更します。
3．画像認証
ログインページに画像認証を設け不正ログインをより強固に防ぎます。
4．ログイン履歴の確認
誰がいつログインしたかを確認できるため、不正なログインに気づきやすくなります。
5．ログインロック
ログイン失敗を繰り返す接続元を一時的にロックしアクセスを禁止します。
6．ログインアラート
ログインがあったことをメールで通知します。
7．更新通知
WordPress、プラグイン、テーマに新しいバージョンがある場合、メールで通知します。自動更新の設定でも通知がきます。
こちこれらの機能であなたのサイトを守ります。次にインストール方法と設定をご紹介します。
インストール方法
左サイドメニュープラグインから新規プラグインを追加を選びます。
プラグインの検索枠にSiteGuard WP Pluginと入力します。
SiteGuard WP Pluginを見つけ今すぐインストールをクリック。
インストールが終わりましたら、青ボタンの有効化をクリック。
画面上部のメッセージ新しいログインページURLをクリック。
一番大事なポイントです！新しいログインURLのページに移ります。
アドレスバーに新しいログインURLが表示されます。今までのログインURLではログインできなくなりましたので、このURLを必ずブックマークしてください。このURLはあなたしか知りません。
ユーザー名：今まで通り
パスワード：今まで通り
画像認証：表示されるランダムな4文字のひらがなを入力
※この画面の場合はまかともと入力し、ログインボタンをクリックします。
一方、WordPressの管理者メールアドレスに、件名WordPress：ログインページURLが変更されましたというメールが届きます。そのメールにも新しいログインURLが記載されていますので、確認しておいてください。
もしも、ログインのURLがわからなくなってしまった場合はこちらを参照ください。
新しいログインURLからログインします。
左サイドメニュープラグインからインストール済みプラグインを選び、SiteGuard WP Pluginを探します。自動更新を有効化をクリック。
設定
インストールしただけでも良いのですが、もう一歩セキュリティを高めてみましょう。
管理ページアクセス制限
WordPressの管理ページへの攻撃から防御するのための機能です。
左サイドメニューSiteGuardから管理ページアクセス制限を選びます。
デフォルトでは無効になっているので、有効にして、変更を保存をクリック。
ログインURLの変更
新しいログインURLの末尾は、デフォルトではlogin_xxxxxの形式です。このままでも良いですが、予測できないように変更したい場合は変更可能です。
こち私はまったく違うものに変更しています。
何も対策をしていないと、ドメインの末尾に/wp-admin/または /wp-login.phpを追加してアクセスすると、ログインページにたどりつけてしまいます。そうならないために、SiteGuard WP Pluginをインストールすると、新しいログインURLが作られます。
左サイドメニューSiteGuardからログインページ変更を選びます。
変更後のログインページ名の枠内を、好きな文字に変更して、変更を保存をクリック。
忘れないようにメモしておいてください。
ログインページURLの変更は完了です。
WordPressをもっと安全にするために
WordPressのセキュリティ対策はプラグインだけではなく、他にも以下の方法があります。
- パスワードの強化
- 投稿者名とユーザー名の変更
- プラグインの更新をまめに
- 定期的なバックアップ
- 信頼できるプラグインの選択
- 不要なプラグインは削除する
セキュリティ対策に100％完璧はありませんので、できる対策はしましょう。
1.パスワードの強化
パスワードの強化は、WordPressのセキュリティ対策において最も基本的な部分です。
具体的な対策は次の通りです。
- 文字種を組み合わせる: 大文字、小文字、数字、記号を組み合わせる
- 長めのパスワード:最低でも12文字以上のパスワードを
- ランダムな文字列:辞書に載っている単語や名前、生年月日などは避けランダムな文字列を
ちなみに、私は文字数は20文字以上にしてます。パスワードを作るのが大変という人は、ツールを利用して作成しましょう。
私が利用しているツールはロボフォーム。パスワード管理にはめちゃくちゃ便利です。
2.投稿者名とユーザー名の変更
投稿者名やユーザー名は、ハッカーにとって格好の標的となります。
セキュリティ対策をしていないと、ユーザー名（ログインID）は、アドレスバーに直接表示できる方法があるのでセキュリティリスクが高まります。
例えば、ドメインの後ろに/?author=1 のような形式で、ユーザーIDを入力すると、そのユーザー名がわかってしまうのです。
こち知らないと怖いですね。
このようなリスクを軽減するため、投稿者名とユーザー名の変更、または投稿者アーカイブは表示しない対策が有効です。
投稿者名とユーザー名の変更に関する詳細な対策は、下記の記事で解説しています。
3.プラグインの更新をまめに
WordPressのプラグインを最新バージョンに更新することは、サイトのセキュリティを強化するために非常に重要な対策です。その理由は以下の通りです。
常に新たな脅威: ハッカーは常に新たな攻撃手法を開発しており、古いバージョンのプラグインに存在するセキュリティの脆弱性を発見し、それを悪用しようとしています。
修正版の提供: 開発者は、発見された脆弱性に対して、迅速に修正版を開発し、最新バージョンで提供します。これにより、脆弱性を悪用されるリスクを大幅に減らすことができます。
古いバージョンのサポート終了: 古いバージョンのプラグインは、開発者によるサポートが終了している場合があります。そのため、新しい脅威に対して脆弱なまま放置される可能性があります。
こちプラグインをインストールしたら自動更新を有効化にしておくといいですね。
プラグインを最新バージョンに更新することは、サイトのセキュリティを維持するために不可欠な作業です。定期的な更新を行うことで、ハッキングやデータ漏洩のリスクを大幅に減らすことができます。
4.定期的なバックアップ
定期的なバックアップは、WordPressのセキュリティ対策において、非常に重要な役割を果たします。
ハッキングによるデータ改ざん: ハッカーに侵入され、サイトのデータが改ざんされた場合でも、バックアップがあれば、改ざん前の状態に復元できます。
万が一の事態に備え、安心してサイト運営を行うために、必ずバックアップをとりましょう。
5.信頼できるプラグインの選択
WordPress用プラグインの中には、悪意のある開発者が作成したものが存在する可能性は否めません。
このようなプラグインを誤ってインストールしてしまうと、さあ大変！サイトのセキュリティが深刻に脅かされる恐れがあります。
そのリスクを回避するためには、プラグインをインストールする時は、以下の手順を踏むことをお勧めします。
- プラグイン名をインターネットで検索し、ユーザーレビューや評価を確認する
- 信頼できる開発者やブロガーによる記事や評価を参照する
- プラグインの最新バージョンが数ヶ月以上更新が途絶えていないか確認する
これらのステップを踏むことで、より安全で信頼性の高いプラグインを選択することができます。プラグインの選定は慎重に行い、サイトの安全性を確保しましょう。
こち当サイトも参考にしてくださいね。
6.不要なプラグインは削除する
不要なプラグインを削除することは、セキュリティの強化だけでなく、サイトのパフォーマンス向上や管理の簡素化にもつながります。
脆弱性の減少: 各プラグインには、セキュリティの脆弱性が存在する可能性があります。不要なプラグインを削除することで、サイト全体の脆弱性を減らすことができます。
攻撃経路の減少: インストールされているプラグインの数が多いほど、ハッカーからの攻撃の入口が増えます。不要なプラグインを削除することで、攻撃対象となる範囲を狭め、ハッキングのリスクを減らすことができます。
定期的にプラグインを見直し、本当に必要なプラグインのみを残すようにしましょう。
ログインURLを忘れてしまった場合
ログインページのURLを忘れてしまった場合、サーバーファイルの.htaccessを見ればログインページがわかります。
WordPressをインストールしたサーバーのファイルになりますので、サーバー管理画面にログインして操作します。
今回は、エックスサーバーを例に説明します。
エックスサーバーの管理画面にログインします。
ホームページの.htaccess編集をクリック。
ドメイン選択画面から、該当のドメインの右横の選択するをクリック。
.htaccessファイルの中身が表示されます。
まず、その中の#==== SITEGUARD_RENAME_LOGIN_SETTINGS_START から #==== SITEGUARD_RENAME_LOGIN_SETTINGS_ENDで囲まれた部分を見つけてください。
そして、その間にある、RewriteRule ^URL末尾(.*)$ wp-login.php$1 [L]の (.*)$ wp-login.php$1の左にあるURL末尾に表示されている文字が、ログインURLの末尾です。
上の例ですとlogin_96928がURL末尾 です。
ログインURLは次のようになります。
ドメインの後ろに/＋login_96928なので、
例：あなたのドメイン/login_96928
確認できたら、何もせずに、サーバーパネルからログアウトします。
さいごに
WordPressはその人気ゆえに、サイバー攻撃のターゲットになるリスクが高いです。
そのため、サイト運営者は自分自身でしっかりとセキュリティ対策を講じる必要が。
今回ご紹介したSiteGuard WP Pluginは、特に日本語対応で初心者にも使いやすく、強力なセキュリティ機能を提供してくれるプラグインです。
しかし、セキュリティ対策はこれだけで完璧になるわけではありません。
パスワードの強化や定期的なプラグインの更新、バックアップなど、日々のメンテナンスも欠かさず行うことが大切です。
WordPressのセキュリティ対策を徹底し、安全で信頼されるサイト運営を目指しましょう。