ワードプレスは世界で最も普及しているCMS且つオープンソースであると言う事から、多くの悪質なハッカーから狙われる事があります。
セキュリティ対策はキリが無く、高いレベルを求めると、相当なコストが掛かります。その為、最低限やっておくことを紹介したいと思います。
Contents
１．パスワードとユーザー名の適切な管理
当たり前かもしれませんが、まずはここがもっとも基本且つ大切な部分だと思います。
弊社にお問い合わせがあったお客様の中でも、ユーザー名が「admin」のままだったり、パスワードが6桁くらいで、簡単に推測できそうなものもあります。
ただ、ユーザー名は、authorなどで表示される事もあり、ばれてしまう可能性がありますので、「admin」「webmaseter」など、よく使われるもの以外ならOKかなと思います。やはり一番重要なのはパスワードです。
パスワードを決める際に意識する事は、以下のたった３つ
１．他のパスワードと共有しない
２．英数字、大文字小文字、記号を含めた10文字以上の文字列
３．ユーザー名やドメインに含まれている文字を含まない
２．ワードプレス本体のバージョン管理
ワードプレス本体のバージョンは定期的に更新されています。機能追加の為のバージョンアップもありますが、多くは、不具合（バグ）や脆弱性の改善のアップデートです。
その為、ワードプレス本体の新しいバージョンのお知らせがある場合、出来るだけタイムリーに更新を行った方が良いでしょう。
ワードプレスのマイナーアップデートとメジャーアップデート
ワードプレス本体のアップデートには、メジャーアップデート（「ver4.8⇒ver4.9」の様に、小数点第１位が上がるアップデート）と、マイナーアップデート（「ver4.8.1⇒ver4.8.2」の様に、小数点第２位が上がるアップデート）があります。
メジャーアップデートは、ワードプレス本体に、機能の追加や仕様が変更するなど、大きな変更が伴います。
マイナーアップデートは、主に、不具合（バグ）や脆弱性の改善の為のアップデートです。（通常このレベルのアップデートは、自動更新で勝手にアップデートされる事があります。）
また、これは意見が分かれるかもしれませんが、メジャーアップデートに関しては、直ぐにアップデートするより、少しだけ待った方が良い場合もあります。（メジャーアップデート後のマイナーアップデートが行われてから）
メジャーアップデートは大きな変更を伴う為、それによる不具合や脆弱性のリスクもあるからです。
３．プラグイン・テーマの適切な管理
ワードプレスに脆弱性のリスクをもたらすのは、何もワードプレス本体だけに限りません。プラグインの脆弱性をついてくる場合も多々あります。
その為、以下の事を気を付けて、適切に管理する必要があります。
１．プラグインのバージョンを最新の物に
プラグインもワードプレス本体と同様にアップデートが行われます。このプラグインのバージョンも、極力最新のバージョンに保っておくことをお勧めします。
２．なるべく信頼のおけるプラグインを使う
信頼の置けるプラグインを見分ける方法は、プラグインの新規追加画面で検索した時に、「星の数」「有効済みインストール数」「最終更新」の３つの要素である程度確認できます。
「星の数」が多くて、「インストール数」が多くて、「最終更新」が最近の物は、信頼できると言えます。
非公式（野良）のプラグインは出来るだけ避ける。
公式のプラグイン（管理画面から新規追加出来るプラグイン）が絶対に安全と言う訳ではないですが、非公式（野良）プラグインは、もっとリスクが高いと思います。
３．必要のないプラグインは削除
プラグインを使わなくなると、「停止」の状態で放置する場合がありますが、「有効化」されていなくても、プラグインがインストールされている事に変わりありません。使わないプラグインは「削除」しましょう。
４．セキュリティ対策のプラグインを使う
プラグインの中には、ワードプレスのセキュリティを向上してくれる物があります。調べると沢山ありますが、私が気に入っているのは、「SiteGuard WP Plugin」です。
インストールして、有効化するだけで、手軽にセキュリティ向上が見込めます。
以上が基本的なセキュリティ対策です。
＋アルファとして、他にも紹介したいと思います。
５．WAF（ワフ）を導入する
WAFとは、Web Application Firewallの略で、Webサーバーの前段階に設置して、悪質な攻撃をブロック、不正ログインを防ぐ為のシステムです。
ただ、このWAFは、高価な物が多いため、個人で導入する事はかなりハードルが高いです。
一番手っ取り早いのは、WAFのサービスをオプションで使える共有のレンタルサーバーを選ぶか、そのレンタルサーバーを使っている場合、使用してみると良いでしょう。
ただ、WAFを導入する弊害もあるようで、これまで動作したアプリケーションが動かなくなると言った事も発生するようです。
６．htaccessで、任意のファイル、フォルダをIPアドレスの制限をする
htaccessの詳細は、ググって頂きたいのですが、ワードプレスの管理画面のファイル「wp-login.php」を、指定のIPアドレスからじゃないとアクセス出来ない様にします。
htaccesの記述例
<Files "wp-config.php"> order deny,allow deny from all <Files "wp-login.php"> order deny,allow deny from all allow from 123.45.678.90
これにより、かなりセキュリティの向上が期待出来ます。
セキュリティのまとめ
いくつかセキュリティ対策に関する事を説明しましたが、ワードプレス周りのセキュリティをどんなに強固にしても、最終的に、レンタルサーバーの管理画面（コントロールパネル）のIDやパスワードやFTP情報が漏れてしまっては意味がありません。
こちらも併せて、しっかり管理して頂く必要があります。
なお、下記の参考サイトは、情報セキュリティに関する事が詳しく記載されています。参考にしてみてください。
以上「ワードプレスで最低限必要な４つのセキュリティ対策」のお話でした。