WordPressセキュリティ設定の基本ガイド：ウェブサイト攻撃を防ぐ

ワードプレスは使い勝手が良いが、あまりに人気があるため、ハッカーにとっては「良質なターゲット」にもなっている。多くのウェブサイトが問題を抱えているのは、技術が低いからではなく、最も基本的なことを無視しているからなのだ。セキュリティ設定.ウェブサイトが攻撃されるのを防ぐのは、思っているほど複雑なことではありません。いくつかの重要な部分を設定するだけで、侵害されるリスクを大幅に減らすことができます。

ユーザー名にadminを使用しない

これは最も見過ごされている脆弱性だ。多くの人はWordPressをデフォルトのユーザー名 "admin "でインストールするが、これはハッカーが最初に試すアカウントである。

あなたへの提案だ：

推測しやすいユーザー名でWordPressをインストールする！
すでにadminを使用している場合は、新しいadminアカウントを作成し、古いアカウントを削除してください。
たとえば、ドメイン名がabc.comの場合、管理者はabcadminと呼ばれるべきではありません。

第二に、強力なパスワードを設定する。

いまだにqwerty、12345678、passwordのようなパスワードを使っているサイトがどれほど多いことか。ハッカーはそれほど高度な技術を必要とせず、「辞書攻撃」スクリプトを実行するだけで、数分で多くのサイトをクラッシュさせることができる。

強力なパスワードの設定推薦します：

少なくとも12人以上
大文字、小文字、数字、記号を組み合わせて使用する。
定期交換
1PasswordやBitwardenなどのパスワードマネージャーで保存したパスワードを管理する。

III.ログイン試行回数の制限

WordPressにはデフォルトではありません。ログイン制限これはブルートフォースクラッキングの機会を与える。例えば、ログインの失敗回数を制御するプラグインをインストールすることができる：

ログイン試行回数の制限
ワードフェンスセキュリティ(ログイン制限も内蔵）
WP ログイン試行を制限する

3回エラーが起きたらIPを1時間ロックするなど、妥当な試行回数を設定することで、ブルートフォースによるクラッキングを効果的に防ぐことができる。

IV.二重認証（2FA）の有効化

アカウントのパスワードが漏洩しても、パスワードが存在する限り、パスワードの漏洩を防ぐことができる。二重検証また、ハッカーが正常にログインすることも非常に困難です。WordPress の管理者アカウントでは、Google Authenticator または SMS 認証コードを有効にすることができます。

推奨プラグイン

WP 2FA

ワードフェンス内蔵

ミニオレンジ2要素認証

有効化すると、バックエンドにログインするたびに、パスワードに加えてモバイルアプリが提供するワンタイムベリフィケーションコードを入力する必要があります。

V. ウェブサイトの定期的なバックアップ

バックアップこれは「オプション」ではなく、ウェブサイトのセキュリティの最重要事項です。あなたのウェブサイトが本当に攻撃されたり、ファイルが改ざんされたりした場合、バックアップは唯一の「後悔の薬」です。

推奨プラグイン

オールインワンWPマイグレーションサイト全体のエクスポートとインポートに適しています。
バックWPupDropbox、S3、その他のバックアップロケーションをサポートする柔軟な設定。
アップドラフトプラスクラウドへの自動バックアップに対応

少なくとも週に1回はバックアップすることをお勧めします。ウェブサイトの更新頻度が高い場合は、毎日自動バックアップを設定することもできます。

第六に、セキュリティ保護プラグインのインストールである。

ワードプレスセキュリティプラグインファイアウォール、悪意のあるファイルのスキャン、ログイン保護など、様々なことに役立ちます。評判の良い、フル機能のものをいくつかお勧めします：

iThemesのセキュリティ初心者に最適、ワンクリックで複数のセキュリティ項目をオン
Sucuriセキュリティウェブサイトのファイアウォールとファイルの完全性チェックに注力
ワードフェンスセキュリティ完全保護、リアルタイム監視

インストール後は定期的にスキャンを実行し、問題があれば対処することを忘れずに。

XML-RPCインターフェースを閉じる

XML-RPCを使用したいことが明確に分かっている場合（例えば、外部ソフトウェアでメッセージを送信する場合など）以外は、単にXML-RPCをオフにすることを推奨する。 DDoS攻撃バイオレンス・ログインへの入り口のひとつ。

動作モード：

Wordfenceのログイン・セキュリティ設定でXML-RPCをオフにするボックスにチェックを入れるなどして、セキュリティ・プラグインでオフにする。

またはウェブサイトのルート・ディレクトリの .htaccess ファイルが追加される：

<ファイル xmlrpc.php
    拒否,許可
    すべてから拒否
</ファイル

8、WordPressとプラグインのタイムリーなアップデート

古いプラグインやテーマは最大のリスク源のひとつです。多くの攻撃は、古いバージョンの抜け道.

運営上の提言

自動更新を有効にする（WordPress 5.5+に組み込まれています）

毎週バックエンドにログインし、プラグインを手動でアップデートする必要があるかどうかをチェックする。
使わなくなったプラグインやテーマは削除し、「予備」として取っておかないこと。

IX.ワードプレスのバージョン番号を隠す

一部の攻撃は、特定のWordPressバージョンをターゲットにしています。ソースコードでWordPressのバージョンを公開すれば、ハッカーは既知の脆弱性があるかどうかを判断しやすくなります。

できる：

ある functions.php 以下のコードを追加し、バージョン番号の出力を削除する：

remove_action('wp_head','wp_generator')；

または、セキュリティ・プラグインを使ってバージョン情報を自動的に隠す。

X. 文書編集機能を無効にする

ワードプレスバックグラウンドで "テーマエディター "と "プラグインエディター "があり、万が一アカウントが侵害された場合、ハッカーはバックグラウンドで直接ファイルを変更し、サイト全体をコントロールすることができる。

バックグラウンドでのファイル編集機能を無効にし、FTPまたはパネル経由でのみコードを管理することをお勧めします。

動作モード：

とおす wp-config.php 書類
以下のコードを追加する：

define('DISALLOW_FILE_EDIT', true)；

保存後、「プラグインエディター」と「テーマエディター」はバックエンドに表示されなくなります。

概要

WordPressのセキュリティは複雑に見えるかもしれないが、実は以下のポイントから始めれば、すでにほとんどの攻撃を防ぐことができる：

adminをアカウントとして使用しないでください。
より強力なパスワード。
無限の試行錯誤でログインするな
保護プラグインを入れる。
バックアップは必要だ。
プラグインは常に更新される

多くの攻撃は "怠惰な "ウェブサイトをターゲットにしている。これらの基本的な設定を理解するためにいくつかの時間を費やす、サイトの保護層が追加されます。基本的なパスを行うためのセキュリティは、あなたのサイトはほとんどのサイトよりも安全になっています。

お問い合わせ
チュートリアルが読めない？無料でお答えします！個人サイト、中小企業サイトのための無料ヘルプ！	カスタマーサービス WeChat
① 電話：020-2206-9892
② QQ咨询：1025174874
三 Eメール：info@361sale.com
④ 勤務時間: 月～金、9:30～18:30、祝日休み