WordPressのセキュリティ対策に！プラグイン「SiteGuard WP Plugin」

自分のサイトを持つようになったら、まず初めに対策をしておきたいセキュリティ。

特に、WordPress（ワードプレス）は世界中でたくさんの人に利用されているので、その分それを狙った悪質ないたずら等も多いようです。

だからこそ、大切な情報を守る為にもしっかりと設定しておきたいところです。

今回は、「SiteGuard WP Plugin」というプラグインをインストールして少し設定するだけの簡単だけど強力なセキュリティ対策についてご紹介していきます。

 

 

プラグイン「SiteGuard WP Plugin」

無料な上に、これ1つで複数のセキュリティ対策ができるのが嬉しいプラグインです。

名前に「WP」とあるのは、WordPress（ワードプレス）向けということ。

主に、WordPressの管理画面やログインの不正アクセス、スパムコメントを防止する機能があります。

もしも、悪意を持った第三者にログインされて管理画面に入られてしまった場合、個人情報が知られてしまったりサイト運営者の意図しないデータの改ざんが行われたりすることがあります。

デフォルトの設定のままでは不正アクセスされてしまう可能性があり、かなり危険な状態なので、そういったことを未然に防ぐために対策をする必要があるのです。

しかし、それを自分の力だけで対策するのは困難です。

「SiteGuard WP Plugin」なら簡単に導入することができ、WordPressの管理画面やログイン画面のセキュリティを強化・保護してくれるので、ここはプラグインの力を借りましょう。

まずはインストールを

他のプラグインと同様に、WordPressの管理画面にある「プラグイン」から「新規追加」を選択し、「SiteGuard WP Plugin」と検索しましょう。

すると左半分がグレー、右半分がオレンジ色の盾のマークのものが出てくるので、プラグイン名を確認してインストール。

その後、「有効化」をクリックしたら導入完了です！

https://www.jp-secure.com/siteguard_wp_plugin/　公式サイトJP-Secure

 

注意！

有効化すると、デフォルトの設定が適用される影響により、管理画面のURLが自動的に変更されます。

このように、ドメイン名の後ろがランダムな数字で表示されるようになります。

これでは、本人がログインしようとした時にも第三者と同じようなことが起こり、404 Not Found というページが出てきてしまいます。

セキュリティとしては良くてもサイト運営者がログインできないのは困りますね(- - ;）

その為、元々のURLをブックマークしておいたりデスクトップに保存しておいたりして、本人だけは「このPCからならすぐにログインできる！」という状況にしておいた方が良いです。

もしくは、プラグイン内の「ログインページ変更」から設定自体を解除するか任意の文字列に変更することもできます。

また、同じページにある「管理者ページからログインページへリダイレクトしない」をチェックマークを入れると、ログインしていない状態で管理画面にアクセスした時に404 Not Foundと表示され、変更後のログインページにリダイレクトされなくなります。

 

 

設定できること

設定する内容は、他に利用しているプラグインや人によって異なる部分もあると思うので、環境に応じて行いましょう。

管理画面サイドバーから「Site Guard」をクリックし、変更したい項目を選んで各種設定が行えます。

 

 

管理ページアクセス制限

ログインされていない接続元からのアクセスを制限することができ記録されていない端末からのアクセスに対して、404 Not Found ページが表示されます。

また、除外パスに入力したURLはその制限を受けない為、「このページは制限をかけなくて良いよ！」というページを指定することができます。

 

ログインページ変更

先ほど説明してしまったので重複してしまいますが、ログイン画面のURLを任意の文字列に変更することができます。

また、「管理者ページからログインページへリダイレクトしない」にチェックマークを入れると、ログインしていない状態で管理画面にアクセスした際に404 Not Foundと表示されるようになり、変更後のログインページにリダイレクトされなくなります。

 

画像認証

ログイン時にIDとパスワードの入力に加えて、少し歪んだひらがな4文字の入力を求められるようになり、これによりコメントスパムを受けにくくなります。

ひらがなでなく、英数字にすることも可能です。

 

ログイン詳細エラーメッセージの無効化

ログインに失敗した際、通常は

「エラー：ユーザー名〇〇のパスワードが間違っています。パスワードをお忘れですか？」

と具体的に表示されてしまいますが、

「エラー：入力内容を確認の上、もう1度送信してください。」

というように曖昧な表現で表示されるようにできます。

その為、不正ログインを防止するのに有効な対策と言えます。

 

ログインロック

短時間に何度もログインしようとする行為を妨げる効果があり、3回ログインに失敗したらロックされる等の設定が行えます。

秒数、回数、ロックする時間を選ぶことができ、こちらも不正ログインを防止するのに有効です。

 

ログインアラート

WordPressにログインされたことが確認される度にメールでお知らせしてくれる機能です。

ログインがあった時間やIPアドレス等も教えてくれるので、自分以外からのアクセスがあったかどうかメールを見れば分かります。

フェールワンス

正しいログインがされたとしても、必ず1度ログインに失敗する機能です。

本人が管理画面にアクセスしたい時には地味に面倒ですが、セキュリティを強化したなら設定しておいた方が◎

 

XMLRPC制御

参考にした記事のリンクを貼って、そのリンク元のサイト管理者に自動で通知するピンバック機能または、インターネット上でXML形式でのやりとりを行うXMLRPCを無効化することができます。

これにより、悪用されるのを防止できますが、XMLPRCを無効化するとXMLPRCを使用しているプラグイン等の利用ができなくなってしまうので注意しましょう。

 

更新通知

WordPressとそのテーマやプラグインに新しいバージョンが配信された際に、「更新できますよ〜」と管理画面でお知らせしてくれる機能です。

常に最新の状態にしておくことも重要なセキュリティ対策の1つなので、それを通知してくれると気付きやすくすぐに新しいバージョンに切り替えることができますね。

 

WAFチューニングサポート

WAFとは、Web Application FireWall（ウェブ・アプリケーション・ファイアウォール）の頭文字をとった略称で、ウェブアプリケーションの弱みにつけ込んだ攻撃からアプリを守る為の壁という意味です。

ここでは、その除外設定を行うことができます。

 

詳細設定

IPアドレスの取得方法を設定することができますが、これはデフォルトの「リモートアドレス」が一般的なのでそのままで大丈夫です。

 

ログイン履歴

その名の通り、これまでのログインの履歴を確認することができます。

先ほどの「ログインアラート」機能により「毎回メールで通知されるのが嫌だけど履歴は知りたい！」という場合も、ここからいつでも確認することも可能です。

 

 

まとめ

今回は、「SiteGuard WP Plugin」というプラグインを使ったセキュリティ対策についてご紹介しました。

WordPressのデフォルト状態では安全性が低いので、最低限のセキュリティ対策は必ず行なっておきましょう。

管理画面にはサイトの情報を見たり操ったり、運営者の個人情報が詰まっています。

悪用しようと考える人は残念ながら絶えませんので、自分と自分のサイトは自ら守っていきましょう。