本ページはプロモーションが含まれています。

【SiteGuard WP Plugin】ブログのセキュリティを強化し不正ログイン防止!

WordPress用セキュリティプラグインの導入手順について ガジェット/Web
WordPress用セキュリティプラグインの導入手順について

ブログを運営されている方の多くがWordPressを利用しているかと思います。

世界的にメジャーなCMSということもあり、必要な情報はググればたいてい見つかるというのは大きなメリットですよね。

その反面でWordPressは不正アクセスの対象にされやすいというリスクもあります。

もし何の対策もせずに使っていると、悪意のある者がWordPressの内部にアクセスしてくることがあり得るのです。

このブログ、セキュリティが甘いゾ。

管理者ページにログインしてデータを壊してやろう!

せっかく苦労して構築したのに・・

ブログを乗っ取られたら最悪だよ。

大切なブログを不正アクセスから守るためにもセキュリティ対策は早急に行うべきです!

そこで今回はオススメの対策として「SiteGuard WP Plugin」というプラグインを紹介したいと思います。

WordPressへのインストールがとても簡単で、セキュリティの設定項目も分かりやすく、どなたでも導入しやすいのが特徴です。

超オススメのプラグインですよ。

ぜひお試しください。

スポンサーリンク

「SiteGuard WP Plugin」ってなに?

「SiteGuard WP Plugin」は日本のセキュリティ企業である「EGセキュアソリューションズ」が開発したWordPress用のプラグインです。

こちらを導入すればWordPressの管理ページを不正アクセスから守ってくます。

信頼できるプラグラインなの?

レンタールサーバー「ロリポップ!」も導入を推奨しているプラグインです。

詳細はロリポップの公式サイト(お知らせ)をご覧ください。

有名なロリポップが推奨してるくらいだから安心できますね。

さっそくインストールしてみよう。

スポンサーリンク

「SiteGuard WP Plugin」のインストール手順

WordPressの管理者ページのメニューから「①プラグイン」ー「②新規追加」を選択し、③キーワード欄に「SiteGuard」と入力して検索してください。

「SiteGuard WP Plugin」というプラグインが見つかったら、④「今すぐインストール」しましょう。

プラグインの新規追加
プラグインの新規追加

インストールが完了したら「有効化」します。

「SiteGuard WP Pligin」の有効化
「SiteGuard WP Pligin」の有効化

有効化した時点で既にいくつかのセキュリティ機能が動いています

「SiteGuard WP Pligin」の有効化が完了
「SiteGuard WP Pligin」の有効化が完了

この時点で既に管理者ページのURLが変更されています。

新しいURLは忘れずにメモしておきましょう。

(詳細については後述します。)

スポンサーリンク

「SiteGuard WP Plugin」の設定

メニューから「SiteGuard」ー「ダッシュボード」を選択すると、本プラグインで設定できるセキュリティ項目の一覧が表示されます。

チェック済みのものが有効になっています。)

「SiteGuard WP Plugin」のダッシュボード
「SiteGuard WP Plugin」のダッシュボード

これより各項目の説明に入りますが、(一覧の表示順ではなく)"ぜひ設定しておきたい項目"を優先して話を進めていきます。

ログインページ変更

WordPressをインストールした時点では、管理者ページURLは「ドメイン名/wp-login.php」または「ドメイン名/wp-admin」になっています。

ただこのままでは(あなた以外の)誰もが管理者ページにアクセスできてしまうため非常に危険です。

言われてみればたしかに・・

管理者ページのURLってバレバレですね。(汗)

「SiteGuard WP Plugin」は管理者ページのURLを変更することができます。

あなただけが知っているURLにすればセキュリティが向上するというわけです。

さっそく「ログインページ変更」画面に移りましょう。

ログインページ変更
ログインページ変更

(前述したように)「SiteGuard WP Plugin」をインストールして有効化した時点で、管理者ページのURLは次のように変更されています。

変更後の管理者ページURL

https://ドメイン名/login_◯◯◯◯◯

◯◯◯◯◯は5桁の乱数字 )

さらに複雑にしたければ「login_○○○○○」の部分をあなたのお好きな文字列に変更しましょう。

ここでオプション項目にある「管理者ページからログインページへリダイレクトしない」は必ず「ON」にしてください

これを怠ると(もともとのURLである)「ドメイン名/wp-login.php」「ドメイン名/wp-admin」からリダイレクトされてしまうため、セキュリティを強化した意味がなくなってしまいます。

ユーザー名漏えい防御

まず試しにブラウザのURL欄に次のように入力してアクセスしてみてください。

https://あなたのドメイン名/?author=1

ここで改めてブラウザのURL欄を見てみると、次のように表示されているかと思います。

https://あなたのドメイン名/author/◯◯◯◯◯/

この◯◯◯◯◯というのはあなたのログインユーザーIDではないですか?

ゲッ、なんでここに僕のユーザーIDが表示されるの!?

IDを知られたら危ないじゃん!

コワいですよね・・

実はあなたのユーザーIDなんて"筒抜け"なんです。

「SiteGuard WP Plugin」を使って対策しましょう!

メニューから「ユーザー名漏えい防御」の画面に入ってください。

デフォルトの設定では「OFF」ですが、これを「ON」に変更してください。

これだけであなたのユーザーIDが漏れることはなくなります。

ユーザー名漏えい防御
ユーザー名漏えい防御

画像認証

「SiteGuard WP Plugin」を入れると管理者ページのログイン画面に「画像認証」が追加されます。

管理者ページのログイン画面
管理者ページのログイン画面

この機能は「画像認証」メニューにて設定します。

通常は「ON」になっていますが、不要なら「OFF」にすることもできますし、認証文字を「ひらがな←→英数字」に切り替えることも可能です。

画像認証
画像認証

ログインロック

機械的に不正ログインを試み、ログイン失敗を繰り返すような怪しいアクセスに対して、一定期間ロックする機能がこちらの「ログインロック」です。

デフォルトでは「ON」になっています。

ログインロック
ログインロック

デフォルトの秒数でも問題ありませんが、厳重にしたい場合は「30秒」の期間中に「3回」の失敗を繰り返した相手に対して「5分」ロックするという設定にするとよいでしょう。

ログイン詳細エラーメッセージの無効化

ログインできなかった際に詳細なエラーメッセージを返すのではなく、単純なメッセージの表示にとどめます。

わざわざ相手にエラー原因のヒントを与えても仕方ないですからね。

デフォルトでは「ONになっています。

ログイン詳細エラーメッセージの無効化
ログイン詳細エラーメッセージの無効化

XMLRPC防御

XMLRPCの悪用を防ぐための機能です。

デフォルトでは「ピングバック無効化」が選択されていますが、(あなたがXMLRPCを使用したアプリやプラグインを使っていないなら)「XMLRPC無効化」を選択すればXMLRPC経由の攻撃を防御することができます。

XMLRPC防御
XMLRPC防御

ログインアラート

ログインがある度にメールで通知してくれる機能で、デフォルトでは「ON」になっています。

毎回メールが届くのを煩わしいと感じる方は「OFF」に変更しましょう。

ログインアラート
ログインアラート

更新通知

WordPress・プラグイン・テーマに更新があることをメールで通知してくれる機能です。

デフォルトでは「ON」になっていますが、更新通知が不要な方は「OFF」に変更してもよいでしょう。

更新通知
更新通知

管理ページアクセス制限

ログインしたときのみ管理者ページへの接続を許可し、ログインしていない接続元IPアドレスからのアクセスは制限する(404エラー)機能です。

デフォルトでは「OFF」になっています。

管理ページアクセス制限
管理ページアクセス制限

フェールワンス

仮に正しいログイン情報を入力したとしても1回目は必ずエラーにする機能です。

デフォルトでは「OFF」になっています。

フェールワンス
フェールワンス

WAFチューニングサポート

WAFの除外ルールを作成することで、WordPressでの誤検出を防ぎつつ、WAF機能を活用することができます。

ただしWebサーバにWAF(JP-Secureの「SiteGuard Lite」)が導入されている必要があります。

WAFチューニングサポート
WAFチューニングサポート

ログイン履歴

こちらでは過去のログイン履歴を確認することができます。

ログイン履歴
ログイン履歴

ログインできないときの緊急対処法

もし「SiteGuard WP Pligin」で何かしらの障害が発生し、管理者であるあなたでも管理者ページにログインできない状態になったら困りますよね。

ログインできないから設定を変えることもできない訳で・・

どうすることもできない最悪の状態だな・・

そのような場合はFTPソフトを使い、以下の手順でプラグインを一旦無効化しましょう。

①FTPソフトであなたサイトにログインする。

②WordPressが入ったディレクトリに移動し、「wp-content」「plugins」と進む。

「siteguard」というディレクトリ名を別の名称に変更する

④リネームしたことにより「SiteGuard WP Pligin」プラグインが無効化される。

これでプラグイン導入以前の状態に戻りますので、「ドメイン名/wp-login.php」または「ドメイン名/wp-admin」にアクセスしてログインし、適切な処置を行ってください。

まとめ

"素のまま"のWordPressはセキュリティ的に弱い部分があるため、不正アクセスからブログを守るための対策を早急にすべきです。

今回紹介した「SiteGuard WP Plugin」は導入も簡単ですし、各種セキュリティ設定も自分好みにカスタマイズできるのでぜひお試しください。

さらにセキュリティを強化したい場合は2段階認証の導入も検討してみるとよいでしょう。