WordPressは世界中で非常に多くのウェブサイトで利用されているCMS（コンテンツマネジメントシステム）です。
そのため、攻撃者からの標的にもされやすく、セキュリティ対策が重要となります。
セキュリティ対策を怠ると、サイトがハッキングされたり、データが盗まれたりするリスクが高まります。
WordPressは自分で守っていく必要があるシステムです。
いくつかの基本的な対策を講じることで、多くの攻撃からサイトを守ることができます。
この記事では、WordPressのセキュリティ対策について、最低限押さえるべきポイントについて解説します。
最新の状態に保つ
WordPress自体やプラグイン、テーマは定期的にアップデートがリリースされます。
これらのアップデートには、以前のバージョンで見つかったセキュリティ上の欠陥が修正されています。
アップデートを怠ると、攻撃者にとっては簡単なターゲットとなる可能性が高くなります。
常に最新バージョンを利用するようにしましょう。
サイトヘルスステータスが「良好」ならOK
最新バージョンに更新されていないと、サイトヘルスステータスが黄色や赤になります。
緑色の「良好」の状態になっていれば、ひとまずOKです。
サイトヘルスステータスは、
「ダッシュボード」＞「ホーム」
から確認ができます。
WordPress、テーマ、プラグインのバージョン確認
「ダッシュボード」＞「更新」から、WordPress、テーマ、プラグインが最新化されているかご確認ください。
※更新後に不具合が発生した場合に原因を特定しやすくするため、1つずつ手動で更新しましょう。
PHP、データベース（MySQL）のバージョン確認
PHPとデータベース（MySQL）も推奨バージョンになっているか確認します。
「ツール」＞「サイトヘルス」＞情報にアクセスします。
- PHPバージョンの確認:
「サーバー環境」セクションに表示されます。PHPバージョンはセキュリティやパフォーマンスに大きな影響を与えることがあるので、定期的に確認することをおすすめします。
- MySQLバージョンの確認:
「データベース」セクションに表示されます。
MySQLはWordPressのデータベースエンジンとして使用されているため、正確なバージョンを把握しておくことは重要です。
強力なパスワードの使用
弱いパスワードはサイトのセキュリティを脆弱にする一因となります。
複雑なパスワードを使用するように心掛けましょう。
また、同じパスワードを複数のアカウントで使わないことも重要です。
「ユーザー」＞「プロフィール」＞「アカウント管理」から、パスワードを変更できます。
「新しいパスワードを設定」をクリックすると、WordPressが自動生成してくれます。
もちろん自分でオリジナルのパスワードを設定することもできます。
ログイン試行回数の制限
デフォルトの設定では、何度でもログイン試行を行うことができますが、これは攻撃のリスクを高める要因となります。
失敗したログイン試行回数を制限するプラグインを利用するか、.htaccessファイルを編集してアクセス回数を制限する設定を行いましょう。
当サービスでは設定済みですのでご安心ください
不要なプラグインやテーマの削除
利用していないプラグインやテーマを削除することで、攻撃対象を減らすことができます。
不要なものは削除し、必要なものも定期的に更新しておきましょう。
当サービスで有効化済みのものは削除されないようご留意ください
バックアップの実施
万が一、サイトが攻撃を受けてしまった場合でも、バックアップがあればデータの復旧が可能です。
定期的にバックアップを実施し、バックアップファイルを安全な場所に保管しておきましょう。
当サービスでは設定済みですが、問題なくバックアップされているか、定期的にご確認をお願いします
セキュリティプラグインの導入
WordPressにはセキュリティプラグインが豊富に存在します。
プラグインを活用することで、セキュリティ対策を手軽に強化することができます。
当サービスでは設定済みですのでご安心ください
SSL/TLSの使用
SSL/TLS証明書を導入することで、データの暗号化が行われ、通信が安全になります。
HTTPS化により、情報の盗聴や改ざんを防止することができます。
当サービスでは設定済みですのでご安心ください
管理者ユーザー名の変更
WordPressのデフォルトでは、「admin」という管理者ユーザー名が使われています。
これをそのまま利用すると、攻撃者にとっては容易なターゲットとなります。
別のユーザー名に変更しておくことで、セキュリティを強化できます。
また、投稿者名と同じユーザー名にしないことも重要です。
当サービスでは設定済みですのでご安心ください
XML-RPCの無効化
XML-RPCは、WordPressの遠隔操作に使用されるプロトコルですが、悪意のある攻撃に悪用されることもあります。必要な場合を除き、無効化しておくことをおすすめします。
当サービスでは設定済みですのでご安心ください
まとめ
以上が、WordPressのセキュリティ対策について最低限押さえるべきポイントです。
セキュリティ対策は一過性のものではなく、定期的なメンテナンスと意識が必要です。
常に最新の情報に対応し、安全なWebサイト環境を維持しましょう。
ご質問があればお気軽にお問い合わせください☺︎
