ワードプレスのセキュリティ対策の要は「不正ログイン対策」にあり！プラグインで防御せよ

こんにちは、リュウセイです。

ワードプレスを使う以上、セキュリティ対策は必須です。

しかし、専門的だから難しそうに思えますよね。

でも大丈夫です。

本記事の内容に従えば、初心者でも簡単にセキュリティ対策ができますよ。

素早く結論を知りたい人はコチラへどうぞ。

ワードプレスは人気だが、リスクもある 

ワードプレスは、世界中で使われているCMS（コンテンツ管理システム）です。

元々の優れた構造や、テーマやプラグインによる拡張性が人気の要因ですね。

しかし、決して無視できないリスクもあります。

サイバー攻撃に遭いやすい 

ワードプレスは普及率が高いため、様々なサイバー攻撃のターゲットになりやすいです。

サイバー攻撃の中で、特に注意すべきなのが「不正ログイン」の脅威ですね。

不正ログインを許すと、ワードプレスサイトが内側から破壊される危険があるため、最も力を入れて対策するべきです。

ワードプレスを襲うサイバー攻撃の種類 

ワードプレスを襲う主なサイバー攻撃の種類をご紹介します。

ブルートフォース攻撃

攻撃者が無数のパスワードの組み合わせを試すことでログインを試みる攻撃です。

時間と労力をかければ必ず成功するため、強力なパスワードと不正ログイン対策が重要となります。

SQLインジェクション攻撃

ウェブサイトのデータベースを操作して情報を抜き取る攻撃です。

プラグインの脆弱性をつかれて攻撃されることが多いため、常にプラグインを最新バージョンにしておくことが重要ですね。

クロスサイトスクリプティング（XSS）

不正なスクリプトをウェブサイトに埋め込むことで、訪問者の情報を盗み取る攻撃です。

これもプラグインの脆弱性をつくことが多いため、最新バージョンにしておきましょう。

ワードプレスのセキュリティを高めるための基本的なこと6つ

サイバー攻撃で最も警戒すべき「不正ログイン」を防ぐために、下記の対策をしましょう。

パスワードを強化する

最も古典的ながら最も強力な対策は、強度の高いパスワードを使用することです。

上記の方法で、強度の高いパスワードを設定しましょう。

「②」に関しては、以下の通り。

ワードプレスの管理画面から、「ユーザー」→「プロフィール」の項目を開く。

「アカウント管理」の新しいパスワードを設定を押す。

自動で強度の高いパスワードが設定される。もちろん、自分でパスワードを設定することも可能。

最後にプロフィールを更新を押して、変更を確定させること。

常に最新バージョンにしておく

下記の3つは、常に最新バージョンにしておきましょう。

こまめにログインをして、アップデートが配信されていないかチェックしてください。

信頼できるサーバーを使う

セキュリティがしっかりしたサーバーを使うことも重要です。

サーバー側でもサイバー攻撃を牽制してくれるので、安全に運用できますよ。

メタ情報を非表示にする

メタ情報にはログインURLの情報も含まれているため、非表示にしておきましょう。

ログインURLが公開になっていると、攻撃者にとっては好都合です。

ダッシュボードの「外観」→「ウィジェット」を開き、メタ情報のウィジェットをサイドバーから外してください。

サーバーのセキュリティ機能をONにする

サーバー側にセキュリティ機能がある場合、推奨されている項目は全て「ON」の設定にしておきましょう。

例えば、エックスサーバーには下記の機能があります。

セキュリティプラグインを使う

ここまでの5つの対策に加えて、セキュリティプラグインも導入するとより効果的です。

その利点は何と言っても、インストールするだけですぐ対策できること。

無料版でも十分に使えるプラグインが多いです。

セキュリティプラグインの導入は必須！

セキュリティを万全にするために、必ず1個は対策プラグインを導入しておきましょう。

なぜセキュリティプラグインが重要なのか？

自動でセキュリティ対策をしてくれるからです。

パソコンでもセキュリティ対策ソフトを入れますよね。

それと同じことだと思ってください。

不正ログイン対策におすすめなプラグイン2つ

繰り返しですが、最も力を入れるべきなのは「不正ログイン対策」です。

その対策にうってつけなプラグインを2つ紹介します。

SiteGuard WP Plugin

不正ログイン対策に特化したプラグインです。

具体的には、下記の機能が実装されます。

ご覧の通り、ゴリゴリに不正ログインを対策してくれます。

特にログインページのURLを自動的に変更してくれるのは便利ですね。

詳しい内容は公式サイトにてご確認ください。

Google Authenticator

ログインに2段階認証を導入するプラグインです。

専用のスマホアプリで認証コードを生成し、そのコードを使って2段階認証を行います。

認証コードは30秒ごとに生成されるため、スマホを奪われない限りセキュリティは万全。

ただし、ログインの際にスマホが必要となるので、それが唯一のデメリットです。

Google Authenticatorの導入方法 | ブログLIFE

スパムコメント対策もやっておこう

不正ログイン対策と合わせて、スパムコメント対策もやっておくのが理想です。

スパムコメントとは、自動化されたボットや人間によって無差別に投稿されるコメントのこと。

ユーザーにとっても不利益であり、サイトの評価も下がるため、対策は必須ですね。

「Akismet Anti-Spam」が最強すぎる

Akismet Anti-Spamは最強すぎるため、ほとんどのスパムコメントを駆逐できます。

インストールして有効化するだけでOK。

どういう仕組みかは知りませんが、スパムコメントだけ弾いてくれるので、便利ですね。

バックアップは必ず取りましょう

万が一の事態に備えて、定期的にバックアップをするのは常識です。

バックアップさえあれば、何があっても元の状態に戻すことができるので。

バックアップは外部ファイルに保管すべし！

バックアップしたデータは、外部ファイルに保管するのが理想です。

なぜなら、サイト内にデータを保管してしまうと、サイトが破壊された時に復元できなくなるため。

それでは折角バックアップを取っていても意味がありません。

UpdraftPlusがおすすめ

UpdraftPlusならば、下記に挙げるような「クラウドサービス」にデータを保管できるため、安全性が高いです。

また、以下のような特徴があります。

有料版がありますが、バックアップと復元なら無料で使えるので、お試しください。

バックアップの頻度と最適なタイミング

頻度の理想は「毎日」、最低でも「1週間に1回」かなと。

大体のプラグインは、バックアップのスケジュール設定が可能です。

UpdraftPlusを使って、バックアップ頻度を「毎日」にスケジューリングするのがおすすめですよ。

アップデートの前などは、手動でバックアップを取るのがいいでしょう。

法人サイトを運用している中小企業さんは、「ワードプレス保守」に力を入れるべきです

ここからは、法人サイトを運営している「中小企業さん」向けの内容です。

法人サイトは特にサイバー攻撃の標的になりやすいため、プロによる専門的な「ワードプレス保守」を行うのがおすすめですよ。

ワードプレス保守とは

本記事で書いたように、プラグインなどを使ってワードプレスのセキュリティを高めることです。

なぜ法人サイトはサイバー攻撃から狙われやすいのか？

攻撃者からすれば、個人サイトよりも法人サイトを狙う方が得です。

その理由は、以下の通り。

上記の背景には、「法人サイトは個人サイトよりも多くの機密情報を扱っているはずなのに、サイト保守が甘い」という現実があります。

当然ながら、法人サイトとして運用する以上、個人サイトよりも保守を厳重に行うべきですね。

プロにワードプレス保守を任せるメリット

保守作業は自分でも十分できますが、より安全に運用したいなら、専門的な知識と経験を持つプロに保守を任せましょう。

保守作業をプロに任せることにより、下記のようなメリットを得られます。

大きな売上を上げているサイトや、個人情報を多く扱うサイトなら尚のこと、保守作業を外注する価値があります。

おすすめの保守会社

保守作業の外注は、ログイン情報を業者に渡すことになるため、信頼できる保守会社を選びましょう。

保守会社の選び方のポイントやおすすめなどは、下記の記事に書きました。

ワードプレスの保守が必要な理由【保守管理はプロに丸投げすべき】 | ブログLIFE

まとめ

ワードプレスを使うなら、セキュリティ対策もセットで運用しましょう。

様々なサイバー攻撃から標的にされていますが、その中で最も危険なのが「不正ログイン」です。

対策プラグインを導入するなどして、保守作業を怠らないようにしてください。

また、保守作業が重荷なら、プロに委託する手もあります。

安全にビジネスを回すための必要経費だと考えましょう。

本編はこれで以上です。
読んでいただきありがとうございました。

Q＆A

Q＆Aという形で、本記事の内容を補完します。

なぜ2個しかプラグインを紹介しないのか？

プラグインは入れすぎるとサイトが重たくなるため、最小限にするのが望ましいです。

本記事で紹介したもの以外だと、例えば下記のプラグインが有名ですね。

今回は「不正ログイン対策」に重点を置いたので、それだとSiteGuard WP Pluginが最適でした。