あなたのWordPressインストールを保護する

人気のあるコンテンツ管理システムを使用することは、ウェブサイトを管理、変更、維持する素晴らしい方法です。しかし、人気が高まるにつれて、Wordpressのような人気のあるシステムを悪用しようとするハッカーからWordpressのインストールを保護する責任も大きくなります。サーバーを安全に保ち、攻撃者から自分たちを守る方法を見ていきましょう。

なぜWordpressを保護する必要があるのか？

Wordpressの人気は、ハッカーの標的にしています。全世界で何百万ものユーザーがいるため、攻撃者はこのような広く使用されているツールを悪用することで費用対効果を最大化します。単一の脆弱性を利用されることで、ハッカーは数百または数千のウェブサイトを危険にさらすことができるため、あなたのウェブサイトも影響を受ける多くのサイトの一つである可能性があります。

WordPressがハッキングされたり妨害されたりする主な方法は、簡単に推測できるパスワード、テーマやプラグインの侵害、および古いWordPressのインストールからです。強力なパスワードとユーザー名を保ち、テーマ、プラグイン、コアインストールを最新のパッチで更新しておくことは、攻撃者からサーバーを保護する上で非常に重要です。

これらのアイテムをどのように更新し、私たちのWordpressインストールが最新の状態であることを確認できるか見てみましょう。

安全なユーザー名とパスワードの作成

WordPressのインストール中に設定されたユーザー名は変更できませんが、インストール時に考慮されていない可能性のある「user」や「admin」のような簡単に推測できるユーザー名を持たない代替の管理ユーザーを作成できます。その後、元の管理者アカウントのために安全なパスワードを作成することで、推測されないようにします。

推測しやすいユーザー名は、攻撃者が一般的なユーザー名とパスワードの組み合わせを推測し、あなたのWordpressインストールにアクセスすることを可能にします。難解でユニークなユーザー名を持つことで、たとえあなたのパスワードが「password」のような単純なものであっても、攻撃者はあなたの複雑なユーザー名を推測しなければアクセスできません。

「mywebsite123987@#￥$@！」のようなユーザー名では、ハッカーがこの方法でサーバーに侵入するのは難しいでしょう。

新しいユーザーを作成するには、ダッシュボードを開いてユーザーに移動します。

上部ナビゲーションで「新規追加」を選択して、新しいユーザーを作成します。

12文字以上の英字、数字、記号を含む、独自で推測が難しいユーザー名とパスワードを必ず提供してください。

このユーザーに管理者ロールを割り当ててから、新しいユーザーを追加を選択します。

さあ、ユーザーページに戻り、元の管理者アカウントである「user」を選択できます。

元のユーザーのために推測不可能な新しいパスワードを生成してください。代替の管理者アカウントがあるので、元のアカウント名「ユーザー」は非常に長く複雑なパスワードを持つことができるため、一般的なユーザー名であることから攻撃者によるブルートフォース攻撃を受けることはありません。

WP管理ログインURLの変更

ログインページを保護するもう一つの優れた方法は、wp-adminのデフォルトログインURLをユニークなものに変更することです。こうすることで、攻撃者はデフォルトのexample.com/wp-admin/ URLを介してあなたのウェブサイトで自動的にログインを試みることができず、あなたの（安全に名付けられた）ログインページを推測しなければならなくなります。

これはWordpressのサポートされている機能ではありませんが、私たちはこれを2つの方法のいずれかで実現できます。プラグインを使用するか、手動でファイルを修正して変更を加えることです。

この記事では、手動でファイルを修正し、不要なプラグインを避けるよう最善を尽くします。

これらの変更はWordpressの更新に引き継がれず、将来的にいくつかの問題を引き起こす可能性があるため、注意が必要です。スムーズな更新を確保するためには、すべての変更されたファイルのバックアップを保持し、更新前にそれらを復元することをお勧めします。その後、同じ変更を再度行うことで、セキュリティ保護されたWordpressログインURLを復元することができます。

まず、強力な検索と置換機能を持つ良いテキストエディタ、例えばNotepad++を用意してください。それが整ったら、Wordpressのルートディレクトリにあるwp-login.phpファイルを探しましょう。

まず最初に、このファイルのバックアップを作成して、いつでも元のログインURLに戻せるようにしておいてください。作業が完了したら、Notepad++でwp-login.phpを開いて、ログインページを保護するために必要な検索と置換のモジュールを実行します。

検索モジュールにアクセスするには、上部メニューの検索に移動し、置換を見つけます。

モジュールが開かれたら、Find What: フィールドに wp-login を入力し、Replace With: に希望のログインURLを入力します。この場合、私は custom_login を新たに指定されたログインページとして選びました。

すべての wp-login の出現を置き換えるには、すべて置き換えを選択してください。

ファイルを保存してWordpressのホームディレクトリに戻ります。wp-login.phpファイルの名前をcustom_login.phpに変更する時間です。

さて、私たちの変更がうまくいったかをテストするために、あなたのウェブサイトのwp-adminディレクトリにアクセスしてください。私の場合、これはhttp://localhost/wordpress/wp-admin/にあります。このURLを読み込むと、エラーまたは「ページが見つかりません」という警告が表示されるはずです。これは、私たちのログインURLが変更され、デフォルトのログインURLを使用しているハッカーによって見つけることができなくなったことを意味します！

正しいログインページを今開きましょう。私の場合は http://localhost/wordpress/custom_login.php にあります。

おめでとうございます！デフォルトのログインURLをより安全なユニークなURLに変更しました。これにより、ハッカーが推測するのが難しくなります。これにより、ログインページがwp-login.phpのURLを特に探しているプログラムによるブルートフォース攻撃から保護されます。セキュリティ向上の一歩前進です！

プラグイン、テーマ、およびコアWordPressを最新の状態に保つ

Wordpressのインストールを保護する最も効果的な方法は、テーマ、プラグイン、およびWordpressのコアインストールを最新の状態に保つことです。

プラグインやテーマはしばしばハッカーの標的にされます。なぜなら、これらは通常、リソースがやや限られた第三者の開発者によって開発されるためです。一方で、WordPress組織は公式プラグインやテーマのセキュリティとバグテストを優先します。

テーマやプラグインは、開発者が自分の意志で作成しますが、しばしば脆弱性に対して徹底的にテストされていません。これにより、攻撃者が全ユーザー向けに更新されていないテーマファイルのバグを見つけた場合、ユーザーに問題を引き起こす可能性があります。このようなことは、数年後にも発生する可能性があります。

プラグインは同じように機能しますが、WordPressのユーザーによってより広く利用される可能性があるため、プラグインはハッカーの理想的なターゲットとなります。何百万ものユーザーによってインストールされたプラグインが悪用されたケースは数多くあり、影響を受けたプラグインが更新されていない場合、すべてのウェブサイトが危険にさらされる可能性があります。

Wordpressの更新を管理するには、ダッシュボードに移動してホームを見つけてください。

このページでは、コアの更新、テーマの更新、さらにはプラグインの更新を一元管理することができます。古い拡張機能がある場合には通知され、ここで更新するオプションが与えられます。テーマ、プラグイン、またはWordPressのインストールに対する変更権限を持つFTPアクセスのみが必要です。

Wordpressは古いファイルに対してメインダッシュボードページで警告を出すことがよくありますが、このWordpress更新ページを頻繁にチェックし、ファイルが最新の状態であることを確認してください。古いファイルを修正することは、攻撃者からの単純な乗っ取りを防ぐ最も効果的な方法の一つです。

プラグインとインストールされたテーマの使用を最小限に抑える

テーマやプラグインを最新のパッチで更新し続けることは、特に数十ものテーマや拡張機能を使用している場合、確かに挑戦となることがあります。このリスクを最小限に抑える最も簡単な方法の一つは、使用しているプラグインとテーマの数を制限することです。

これにより、インストールされていないプラグインやテーマごとに、ハッカーに対する攻撃ベクトルが指数関数的に減少します。また、無効化されたプラグインやテーマをアンインストールすることで、将来、深刻なバグによって未使用のツールが悪用されるのを防ぐことができます。

プラグインを使用しないことに決めたら、ウェブサイトから完全に削除してください。古い無効化されたプラグインでも、大規模にハッカーによって侵害された深刻なバグが見つかっています。

すべてのものにプラグインがあるようですが、今日行ったことの中にも、プラグインやテーマのインストールの使用を最小限に抑えることは、ハッカーが数年後にも見つけることができる脆弱なバグからウェブサイトを確実に保護するのに役立ちます。可能であれば、デフォルトのテーマと使用しているテーマのみをインストールし、サイトを機能させるためにできるだけ少ないプラグインを使用してください。

覚えておいてください、プラグインやテーマをインストールしているユーザーが多いほど、ハッカーにとって脆弱性を見つけるターゲットが魅力的になります。

修復と安心のためのバックアップ

不可逆的な妥協を保護するための最終ステップは、安全なバックアップを保持することです。プラグインやWordpressでバグが発見されたとの発表があった場合、より安全なインストールに戻すことができたり、単に影響を受けたファイルをライブウェブサイトから削除することができるかもしれません。

脆弱性が深刻な場合は、新しいWordpressを新たにインストールし、投稿を新しく安全なインストールにインポートすることをお勧めします。

データをバックアップする方法は数え切れないほどありますが、ここではWordpressファイルをバックアップする最も基本的な方法として、内蔵のエクスポートツールを使った方法を紹介します。

このツールはWordpressダッシュボードのツール > エクスポートにあります。

ここから、投稿、ページ、メディアファイル、またはすべてのコンテンツを手動でエクスポートできます。

これはあなたのテーマやプラグインをいかなる形でもバックアップすることはなく、私たちのcustom_login.phpページのような変更されたファイルもバックアップしません。しかし、災害が発生した場合、すべての投稿とページの安全なバックアップがあり、新しいインストールに簡単にインポートすることができます。

ファイルをバックアップするための別の方法には、SQLデータベース全体をエクスポートすることが含まれます。しかし、一度侵害されると、どのファイルやデータが長期的なバックドアの危険にさらされているかを正確に判断するのは難しいです。もしあなたのWordpressのインストールが侵害されているなら、残ったファイルをできるだけ少なくして、新しいインストールからやり直すのが最善です。

セキュリティ：終わりのない仕事

このガイドはセキュリティの表面にしか触れていませんが、これらはWordpressの完全な侵害を防ぐための最も効果的な方法のいくつかです。これらはハッカーによって最も利用されている攻撃ベクターであり、これらのシステムを保護することで、世界中のWordpressインストールに対して行われる最も一般的かつ自動化された攻撃からあなたのサイトを守ることができます。

簡単に予測できない強力なユーザー名とパスワード、カスタムログインページ、最新のプラグイン、テーマ、コアインストールは、サーバーのセキュリティを高めるのに大いに役立ちます。それに強力なバックアップとサードパーティツールの最小化を組み合わせることで、ハッカーがあなたのWordPressインストールに対して利用できるベクターは大幅に減少します。

強力なWordPressの習慣と暗号化、ファイアウォール、悪意のある活動の検出などの強力なサーバーセキュリティ慣行を組み合わせることで、あなたのウェブサイトを安全に保ち、インターネット上の安全な場所にすることができます！