WordPressテーマとプラグインのコードを安全に保つ方法【初心者向けセキュリティ対策ガイド】

WordPressサイトを運営しているなら、テーマやプラグインのコードをいかに安全に保つかは、早晩必ず向き合うべき課題です。Web開発の知識がどの程度であっても、この記事で紹介するステップバイステップのセキュリティ対策を実践すれば、WordPressサイトの防御力を最大限に高め、長年にわたってサイトを危険から守ることができます。それでは、WordPressサイトを「鉄壁」にするための具体的な方法を見ていきましょう。

なぜWordPressのセキュリティ対策が必要なのか

WordPressのセキュリティ対策に本格的に取り組むべき理由は数多くあります。まず大前提として、WordPressは世界で最も人気のあるCMSであるため、他のコンテンツ管理システムと比べてハッカーからの攻撃目標になりやすいという現実があります。ログイン画面へのブルートフォース攻撃、SQLインジェクション、そしてWordPress本体・データベース・バックアップファイルの脆弱性を突く悪意あるコードなど、攻撃手法は多岐にわたります。

これはWordPressの人気ゆえの宿命とも言える負の側面です。もし自分がハッカーだったら、現在存在する1,900万以上ものWordPressサイトへの「鍵」を探そうとするでしょうか?答えはイエスです。

さらに、初期状態で適切に保護されていないWordPressテーマを使ってサイトを構築すると、ハッカーにとって格好の標的になってしまいます。将来のサイトを安全にする唯一の確実な方法は、信頼できる実績のあるテーマ販売元からプロ仕様のWordPressテーマを購入することです。言うまでもなく、市場での歴史が長いテーマメーカーほど、質の高いテーマを提供しています。つまり、プロフェッショナルなテーマを選ぶことで、サイトが不正アクセスされるリスクを大幅に下げられるのです(ただし、リスクがゼロになるわけではありません)。

WordPressテーマとプラグインのコードを安全に保つ6つの方法

1. ユーザー権限は慎重に設定する

ご存じの通り、すべてのWordPressテーマではユーザー権限(ロール)を管理できます。管理者、編集者、投稿者、寄稿者、購読者といった各ユーザーロールには、ユーザーが実行できる操作・できない操作を定めた権限セットが割り当てられています。

正直なところ、初心者の方は上記の5つのデフォルトロールをそのまま使うのがおすすめです。どうしてもカスタマイズが必要な場合は、次のシンプルなルールに従いましょう。第一に、User Role Editorのような信頼できるプラグインを導入して、権限調整の作業をスムーズに行うこと。第二に、細心の注意を払って設定することです。ほんの小さなミスが、サイト全体のコンテンツ喪失につながることもあります。それだけリスクが高いということです。

2. ファイルエディターを無効化する

WordPressテーマにおける最も一般的なセキュリティ問題の一つが、ファイルエディターの脆弱性です。ハッカーがファイルへアクセスできてしまうと、削除や再編成をはじめとする様々な改ざんを行われてしまいます。だからこそ、エディターを無効化することには大きな意味があります。無効化する信頼性の高い方法は少なくとも2つあります。

• MalCare Security Pluginを導入する。このセキュリティプラグインを使えば、ファイルエディターを数秒で無効化できます。MalCareはスキャン・クリーンアップ・保護までを簡単に行えるオールインワンのセキュリティプラグインです。さらに、ログインセキュリティのための連続ログイン失敗の検知や、第三者製PHPファイルの実行防止など、不審な操作に対する強力なコントロール機能も備えています。Web開発の専門家でない方にとって、WordPressサイトのセキュリティ対策の第一候補となるプラグインと言えるでしょう。

• コードを追記する。wp-config.phpファイルの末尾に以下の1行を追加します:

define( 'DISALLOW_FILE_EDIT', true );

3. PHPエラー表示を無効化する

PHPのエラーメッセージは非常に有益で、多くのWebサイトの問題診断に役立ちます。しかし一方で、エラーログが有効になっていると、発生しうるエラーや警告がコードやディレクトリ構造に関する重要な情報を漏えいし、攻撃の手がかりとなることがあります。たとえば、PHPエラーにはエラーが発生したパスが表示されることがあります。その結果、ハッカーはエラー情報を辿って、あなたのWordPressサイトのディレクトリ構造へアクセスしようとするかもしれません。誰もそんな事態は望まないはずです。そこで、wp-config.phpファイルに以下のコードを挿入して、PHPエラー表示を無効化しておきましょう。

define( 'WP_DEBUG', false );
define( 'WP_DEBUG_DISPLAY', false );

4. テーマとプラグインを常に最新の状態に更新する

古いバージョンのまま放置されたWordPressサイトのバグは、ハッカーにとって歓迎の「ウェルカムマット」であり、セキュリティリスクの温床です。開発者は、テーマやプラグイン、さらにはWordPressコア自体に脆弱性が見つかった際にアップデートをリリースします。サイト運営者がアップデートを怠れば、脆弱性は修正されないまま残り、サイトは侵入されやすくなります。WordPressテーマとすべてのプラグインを定期的に更新していれば、攻撃対象になる可能性を自動的に最小化できます。

ただし正直に言うと、テーマやインストール済みプラグインを更新するには、ファイルエディターが有効になっている必要があります。さもなければ、未修正のバグだらけのままサイトが止まってしまうこともあります。

ここで次の疑問が生まれます。「セキュリティのためにファイルエディターを無効化したのに、更新のためにまた有効化するのは意味があるのか?」答えは「イエス」です。

例えて考えてみましょう。あなたのWordPressサイトを一軒の家だと想像してください。ファイルエディターの無効化は「玄関の鍵をかけること」、更新作業は「家の中の掃除」に相当します。快適に暮らすためには、空き巣から家を守るために玄関に鍵をかけ、掃除のときだけ鍵を開けて中に入り、定期的に整えてまた鍵を閉めますよね。WordPressサイトも同じです。まずファイルエディターを無効化してサイトを「防犯状態」に保ち、テーマ更新やコードのクリーンアップが必要なときだけ有効化し、作業が終わったら再度無効化して「施錠」します。理にかなっていますよね?

5. プラグイン一覧を見直す

初心者によくある典型的な失敗が、「魅力的なサイトを作りたい」という一心で数十個ものプラグインをインストールしてしまうことです。しかしその結果、不要だったり機能が重複していたり、正常に動作しなかったりするプラグインが出てきます。中には脆弱性が生じ、ハッカーにサイトへの侵入経路を与えてしまうものもあります。だからこそ、まずサイトに最適なWordPressプラグインの選び方を知ることが大切です。加えて、半年に一度、サイト内の全プラグインを徹底的に点検する習慣をつけましょう。継続して使うものと、無効化または削除すべきものに仕分けしてください。

注意：プラグインの「無効化」と「削除」の違いを正しく理解しておきましょう。

• 無効化した場合、プラグインはWordPressのツールキットに残ります。いつでも好きなタイミングで再有効化できます。
• 削除した場合、プラグインは管理画面から消え、それに関連付けられたデータも一緒に失われます。

ただし、無効化されたプラグインも悪用される可能性があるため、使っていないプラグインは思い切って削除するのが賢明です。

6. Webフォームの入力データを検証する

Webフォームは、ターゲット層との接点を作るうえで重要なツールです。しかし残念ながら、フォームはWordPressサイトを混乱に陥れる手段として悪用されることもあります。具体的には、ハッカーがフォームの入力欄に有害なコードを注入するケースです。そのコードがサイト側で受信・検証されてしまうと、サイトへの不要な広告表示から機密データの漏えいまで、多大な被害をもたらしかねません。これを防ぐ最も手軽な方法は、データ検証(バリデーション)プラグインを導入することです。

まとめ:今すぐできる対策と継続的な対策

セキュリティは今や、多くのWordPressサイトにとって喫緊の課題です。幸いなことに、テーマとプラグインのセキュリティは自分自身で強化できます。そのために必要な対策は、以下の2つのカテゴリーに分けられます。ひとつは今すぐ実行できる一度きりの対策、もうひとつはサイトを所有している限り継続的に取り組むべき対策です。

一度きりで済むセキュリティ対策

• 信頼できるテーマメーカーのプロ仕様WordPressテーマを選ぶ
• MalCareのようなオールインワン型セキュリティプラグインを導入する
• ユーザー権限を慎重にカスタマイズする
• 現在のWordPressバージョン情報を非表示にする
• ファイルエディターを無効化する
• PHPエラー表示を無効化する
• データ検証プラグインを導入する

継続的に行うべきセキュリティ対策

• WordPressテーマ・プラグイン・WordPressコアを必要に応じて随時更新する
• 使用していないプラグインをすべて削除する

この記事が、WordPressテーマとプラグインのコードを安全に保つ技術を習得する一助となれば幸いです!