WordPressの管理画面を守る9つのセキュリティ対策ガイド

WordPress管理画面の保護：WordPressサイトには、1日24時間・毎分9万件以上ものハッキング攻撃が試みられていることをご存知でしょうか？つまり、規模の大小にかかわらず、あらゆるWordPressサイトが常に攻撃の標的になり得るということです。ウェブサイトにとって、セキュリティは最優先すべき課題の一つなのです。

ハッカーはさまざまな手法でWordPressサイトへの侵入を試みますが、その代表格が「ブルートフォース攻撃（総当たり攻撃）」です。これは、ログインページでよく使われるユーザー名とパスワードの組み合わせを片っ端から試していく手法です。

ブルートフォース攻撃に成功すると、ハッカーはWordPressの管理画面（ダッシュボード）へアクセスできるようになります。管理画面はWordPressサイトの司令塔であり、ここへの完全なアクセス権を持つ者は、サイト全体を自由に操作できてしまいます。だからこそ、管理画面をブルートフォース攻撃から守ることが極めて重要なのです。

WordPressの管理画面を安全にするには？

ここでは、WordPressサイトの管理画面をハッキングから守るために実践できる、効果的な対策をいくつかご紹介します。

1. 強固なパスワードを使う

サイト運営者が陥りがちなミスとして最も多いのが、脆弱なパスワードの使用です。近年、パスワード解析技術は大きく進化しており、推測しやすいパスワードなら数分で破られてしまいます。強力なパスワードは、高度なパスワードクラッキング技術からサイトを守る第一歩となります。WordPress向けの強力なパスワードの作り方については、専用のガイド記事も参考になります。

ただし、複雑なパスワードを覚えておくのは大変ですよね。強力なパスワードを効率よく管理する方法についても解説しているので、ぜひチェックしてみてください。

もう一つよくある失敗が、複数のサイトで同じパスワードを使い回すことです。一つのパスワードが漏洩すると、そのパスワードを使っているすべてのアカウントが危険にさらされます。アカウントごとに異なるパスワードを設定することで、このリスクを回避できます。

2. 一般的なユーザー名を避ける

パスワードの強化はログイン情報を守る重要なステップですが、ログイン情報のもう一つの要素が「ユーザー名」です。ユーザー名が簡単に推測できる場合、ハッカーはパスワードだけに集中すればよくなってしまいます。

WordPressで最もよく使われているユーザー名が「admin」です。数年前まで、WordPressは「admin」をユーザー名として自動提案していました。現在では推奨されなくなりましたが、今でも多くのサイト運営者が「admin」を使い続けており、新規アカウントでも同様のケースが見られます。こうしたサイトは、ハッカーにとって格好の標的となっているのです。

WordPressはユニークなユーザー名の使用を強制しないため、既存ユーザーが一般的なユーザー名を使っていないか、新規アカウントで「admin」が使われていないかを必ず確認しましょう。避けるべきユーザー名をまとめたリストもあるので、参考にしてください。

3. ログインページのURLを変更する

WordPressサイトは決まった構造で動作します。たとえば、すべてのWordPressサイトには www.example.com/wp-admin のようなデフォルトのログインページが存在します。これにより、ハッカーは複数のWordPressサイトに対して同時に自動攻撃を仕掛けやすくなっています。しかし、ログインページのURLを変更して隠せば、この種の攻撃を防ぐことができます。

ログインページのURLを変更できるプラグインは多数ありますが、注意点があります。同じプラグインを使っている他のサイトと同じURLになってしまう可能性があるのです。ハッカーがそのURL形式を知っていれば、ログインページを隠した意味がなくなります。そのため、自分独自のカスタムURLを作成できるツールを使うことをおすすめします。

4. HTTP認証を導入する

管理画面をさらに強化する手段として、wp-adminフォルダ全体をパスワードで保護する方法があります。wp-adminフォルダには、WordPressダッシュボードを動かすための管理ファイルが含まれており、このフォルダにアクセスできればサイト全体を制御できてしまいます。フォルダ全体をパスワード保護すれば、誰かが管理セクションへアクセスしようとするたびに、サーバーが認証プロセスを起動し、ブラウザがHTTP認証のパスワード入力を求めるようになります。HTTP AuthやAskApache Password Protectなど、WordPress管理画面にHTTP認証を実装できるツールは多数あります。

5. Google Authenticatorで二段階認証を使う

昨今、ハッキング手法はますます巧妙化しています。そこで、強固なログイン情報に加えて、もう一段階の認証レイヤーを追加するのが一般的になっています。これが「二段階認証（2FA）」です。この方式では、スマートフォンにしか届かない確認コードを送信します。WordPressダッシュボードへのアクセスが許可される前に、サイト上でこの固有のコードを入力する必要があります。このアプローチの利点は、仮にハッカーがログイン情報を突破しても、あなたのデバイスにしか届かないコードが必要になるため、不正アクセスを防げる点です。

二段階認証に対応したWordPressプラグインは数多くあります。当サイトではMini Orangeを使って2FAを有効化し、設定手順をガイドとしてまとめています。

6. ログイン失敗回数を制限する

ブルートフォース攻撃を受けているサイトでは、何百回というログイン失敗が繰り返されます。この執拗な攻撃から管理画面を守るには、ログイン失敗の許容回数を制限するのが有効です。たとえば、MalCareセキュリティプラグインは、3回ログインに失敗するとそれ以上の試行をブロックします。再度ログインページにアクセスするには、CAPTCHA（画像認証）をクリアする必要があります。これにより、アクセス者が人間なのか、それともブルートフォース攻撃を実行する自動ボットなのかを判別できます。

7. SSL証明書を導入する

ブラウザで当サイトのURLをご覧ください。「鍵」アイコンや「保護された通信」という表示が見えるはずです。当サイトにはSSL証明書がインストールされており、第三者が通信を盗み見てユーザーのログイン情報を読み取ることはできません。SSL証明書がないサイトは、機密情報を意図せず露出させてしまう危険性があります。

かつてSSL証明書は、決済ページやWordPress管理画面など限られた場所にのみ導入されるものでした。しかし今では、サイト全体を保護することが可能です。より安全なウェブを目指すGoogleは、SSL証明書が検索順位の要素であることを明言しています。ComodoやLet's EncryptなどのプロバイダーからSSL証明書を取得でき、多くの場合、ホスティング会社がサイトへの設置をサポートしてくれます。

8. 悪意のあるIPアドレスをブラックリスト登録する

インターネットを利用するすべての人にはIPアドレスが割り当てられています。もちろん、WordPressサイトに攻撃を仕掛けるハッカーにもIPアドレスがあります。これらのIPアドレスを記録しておけば、サイトへのアクセスを遮断できます。最高峰のWordPressセキュリティプラグインの一つであるMalCareは、サイトで発生したログイン失敗の詳細（IPアドレス）を確認できます。同じIPアドレスから頻繁に失敗が繰り返されている場合は、以下のコードを.htaccessファイルに追加するだけで、不審なIPからのアクセスをブロックできます。

order allow,deny 

deny from 192.168.20.10 

allow from all

「192.168.20.10」は、当サイトのひとつでブロックしたいIPアドレスの例です。実際には、ブロックしたいIPアドレスに置き換えて使用してください。

9. セキュリティキーを変更する

サイトにログインするたびに認証情報を入力する必要はないですよね？ブラウザはどうやってこれらの情報を保存しているのか、疑問に思ったことはありませんか？アカウントにサインインすると、ログイン情報は暗号化されてブラウザのCookieに保存されます。セキュリティキーとは、この暗号化を強化するためのランダムな変数のことです。もしサイトがハッキングされた場合は、シークレットキーを変更することでCookieを無効化し、アクティブな全ユーザーを強制的にログアウトさせられます。追い出されたハッカーは、WordPress管理画面へのアクセス権を失うことになります。

まとめ：まずは実践を

WordPress管理画面を守る万能な方法は存在しないため、複数の対策を組み合わせることが大切です。ここでは、特におすすめの管理画面保護策をご紹介しました。ただし、いずれの対策を実施する前にも、必ずサイトのバックアップを取っておきましょう。万が一問題が発生しても、バックアップから復元すれば、すぐにサイトを元通りにできます。

さらに、IPブロック、ログインページの保護、wp-config.phpによるサイトの保護、WordPressセキュリティ完全ガイドの実践、そしてMalCareのようなWordPressセキュリティプラグインの導入など、追加で講じられる対策もあります。

MalCareは、本記事で紹介した対策の一部を簡単に実装できるようサポートしてくれます。たとえば、セキュリティキーの変更、ログイン失敗回数の制限、サイトの更新管理などを、MalCareセキュリティプラグイン一つで行えます。

今すぐMalCareセキュリティプラグインを試してみよう！