WordPressパスワードセキュリティ完全ガイド：サイトを守るための7つの必須対策

WordPressサイトがハッキングされたとき、その原因として最も多いのがパスワードです。

どのようなサイトも100%ハッキングを防げるわけではありませんが、WordPressのパスワードセキュリティを強化することは、ウェブサイトを守る上で大きな差を生みます。

パスワードに関する最も一般的な2つの間違いは、「覚えやすいものに頼ってしまうこと」と「複数のサイトやアカウントで同じパスワードを使い回すこと」です。信じられないかもしれませんが、2020年に最も多く使われていたパスワードは「password」という単語、あるいはそのバリエーションだったのです。

そこまで露骨なパスワードを使っていなくても、誕生日、ペットの名前、出身地、家族の名前などをパスワードに使うのは大きなセキュリティリスクです。確かに覚えやすくなりますが、こうした情報はSNSなど各種サービスのプロフィールから容易に入手できるため、ウェブサイトへの不正アクセスも格段に簡単になってしまいます。

パスワードは文字通り、ウェブサイトへの「鍵」です。そして優れたセキュリティは、強固なパスワードだけで完結するものではありません。サイトをしっかり守りたいなら、強力な対策を講じる必要があります。

要点：WordPressのパスワードセキュリティはウェブサイトにとって非常に重要です。手薄なサイトを狙う攻撃者やボットを防ぐ役割を果たします。MalCareなどのプラグインを活用してパスワードセキュリティを強化し、他の手段で侵入を試みる攻撃者からWordPressサイトを守りましょう。

WordPressパスワードセキュリティの基本

強力なWordPressパスワードを持つことは重要ですが、それ以外にもサイトに被害をもたらす危険な習慣がいくつかあります。これらは「1つのパスワードを複数アカウントで使い回す」「パスワードを変更しない」ことが便利であるため、見落とされがちです。しかし、あなたのWordPressサイトが重要なものであるなら、以下の習慣とは今すぐお別れすべきです。

この記事では、一度の見直しでWordPressのパスワードセキュリティを大幅に向上させる方法をまとめました。

1. ログインセキュリティ用プラグインを導入する

ハッカーは「ブルートフォース攻撃（総当たり攻撃）」と呼ばれる手法を使います。これはボットを使って何千通りものパスワードの組み合わせを試し、サイトへのアクセスを試みる攻撃です。ブルートフォース攻撃に直面した場合、最善の防御策は強力なファイアウォールであり、ファイアウォールを備えたプラグインが提供するセキュリティに代わるものはありません。

私たちが推奨するのはMalCareです。その理由のひとつは、MalCareが数分以内にブルートフォース攻撃を検知できるインテリジェントなファイアウォールを搭載している点です。あるIPアドレスが30分以内に10件の誤ったログインリクエストを送信すると、次のリクエストにはreCaptchaが必要になります。さらに、短期間に100件以上の無効なログイン試行があった場合は、IPアドレスに関係なくすべてのログインリクエストにreCaptchaが適用され、サイトを保護します。また、不審なIPアドレスをブロックする機能に加え、個別または地域ごとに手動でIPをブロックすることも可能です。

ブルートフォース攻撃からの保護に加え、MalCareは不審なアクティビティや脆弱性を速やかに通知してくれるため、攻撃に不意打ちされることもありません。

さらにMalCareは、自動スキャンのスケジュール設定、ワンクリックでのマルウェア駆除、充実したサポート体制を提供しています。これらの強力な対策により、マルウェア感染の最大の原因である脆弱性からウェブサイトを守ることができます。

2. WordPressのパスワード要件に従う

当たり前の話ですが——強力なパスワードを使いましょう。では、そもそも何が「強力なパスワード」なのでしょうか？

アカウントを作成するとき、Webホスティングサービスでもwp-adminでも、パスワードの要件（文字数、文字種の組み合わせなど）に関する推奨事項が表示されます。以下の一般的なWordPressパスワードルールを厳守してください。

• 大文字・小文字、数字、特殊文字（@、#、* など）を組み合わせる
• パスワードは6文字以上にする（最低10文字、理想は50文字）
• 誕生日やペットの名前など個人情報は使わない
• 単語1つだけのパスワードは避け、フレーズ形式を採用する

これらの要件は単なる提案ではなく、攻撃者に簡単に突破されないパスワードを確保するための基準です。

3. パスワード管理ツールを使う

なぜ人々が弱いパスワードを使うのか、理由は明白です。ハッキングされたいわけではなく、覚えやすいからです。例えば「mypetname1234」は「$%484hdfilpsofga」よりはるかに覚えやすいでしょう。しかし、ボット攻撃を乗り越えられるのはどちらのパスワードかは言うまでもありません。

幸い、パスワード管理ツールを使えば、解読不能なパスワードを記憶する必要はありません。無料・有料のさまざまなパスワード管理ツールがありますが、データの安全性とバックアップ機能を備えた信頼できるツールを選ぶことをおすすめします。

「ハッカーにパスワード管理ツールを突破されたら、すべてのパスワードが漏洩するのでは？」と不安な方に仕組みをご説明します。パスワード管理ツールはパスワードを暗号化して保存するため、万が一ハッキングされてもパスワードそのものは解読できません。さらに、ほとんどのパスワード管理ツールはゼロ知識アーキテクチャを採用しており、ツールの提供元でさえパスワードの中身を見ることができない仕組みになっています。

パスワード管理ツールは、人間の記憶力よりもはるかに安全です（シャーロックの心の宮殿を除けば）。

4. パスワードを定期的に更新する

ブルートフォース攻撃には時間がかかります。パスワードが複雑になるほど、解読にかかる時間は長くなります。WordPressのパスワード要件をすべて満たしていれば、ハッカーがパスワードを破るまでに数日、場合によっては数ヶ月かかることもあります。残念ながら、ハッカーはフィッシングなど別の手法でパスワードを盗もうとすることもあり、パスワードが盗まれればサイトは危機に陥ります。

この問題に対する最もシンプルな対策は、パスワードを定期的に更新し、古いパスワードを使い回さないことです。新しいパスワードを覚えるのは面倒ですが、それに勝るセキュリティメリットがあります。

定期的なパスワード変更にはもうひとつの利点があります。もし気づかないうちにハッキングされていた場合でも、パスワードを変更すればすべてのデバイスから強制的にログアウトされるため、不正アクセスしている人物を締め出せるのです。

5. 辞書にあるような単語を避ける

パスワードのガイドラインをすべて守っていても、覚えやすくするために単語や名前を使ってしまうことはよくあります。しかし残念ながら、辞書に載っているような言葉が含まれるパスワードは安全とは言えません。

ハッカーは「辞書攻撃」と呼ばれる手法を多用します。ボットに辞書内のすべての単語を試させ、WordPressサイトにアクセスできるまで繰り返す攻撃です。これを回避する最善の方法は、辞書にある単語を一切使わないことです。好きな歌手の名前よりも、意味不明な文字列の方がはるかに安全です。数字や特殊文字を混ぜたフレーズ形式のパスワードなら有効ですが、単語だけのパスワードは絶対に避けてください。

6. パスワードは一意にする

価値の高いウェブサイトを運営している場合、複数のアカウントやサイトでパスワードを使い回さないことは極めて重要です。同じパスワードの使い回しは非常によくあるセキュリティ上の欠陥であり、絶対に避けるべきです。ハッキング事件の後、漏洩したパスワードがデータベースとして闇市場に出回り、ハッカーの手に渡ることが少なくありません。パスワードを使い回していると、たとえ強力なパスワードであっても、別のサイトから流出したパスワードでWordPressの管理画面にログインされてしまう可能性があります。

7. パスワードを共有しない

パスワードは誰とも共有してはいけません。不要な注意のように思えるかもしれませんが、あまりにも多くの人が同僚や仲間に気軽に認証情報を渡しています。共有相手が悪用しなかったとしても（実際に悪用されるケースは決して珍しくありません）、パスワードを共有すること自体がセキュリティリスクです。通信が傍受されれば、ハッカーはその情報を使ってアカウントへアクセスできてしまうのです。

WordPressで全ユーザーに強力なパスワードを強制する方法

堅牢なセキュリティ体制を築くには、自分だけでなく、サイトの全ユーザーにも強力なパスワード運用を徹底させる必要があります。ハッカーは必ずしも管理者アカウントを狙うとは限らず、権限の低い他のアカウントからサイトにマルウェアを仕込むことも可能だからです。以下の手順で、サイト上のすべてのアカウントに強力なパスワードを強制できます。

• Password Policy Managerなどのプラグインをインストールする
• パスワードポリシー設定画面を開く
• 強制したいパスワード要件を選択する
• パスワードの文字数や有効期限などの詳細を設定する
• 「保存」をクリックする

WordPressで強力なパスワードを強制すべき理由

パスワードはウェブサイトへの鍵だと述べました。家の鍵を失くして、それを泥棒に拾われたらどうでしょうか。警備員を雇っていても、泥棒が鍵を持っているという事実だけで、被害に遭う確率は何百倍にも跳ね上がります。同じように、他のセキュリティ対策を講じていても、弱いパスワードはハッカーにWordPressサイトへの道を開いてしまうのです。

ハッカーはしばしばブルートフォース攻撃を仕掛けます。ボットを使って何千ものパスワード候補を試し、ログインを試みる攻撃です。これらのボットは毎分数千通りの組み合わせを試し、闇web経由で漏洩パスワードのデータベースにアクセスしていることもあります。パスワードが一般的なものや弱いものであれば、ボットに破られるのは時間の問題です。

また、強力なファイアウォールでブルートフォース攻撃からWordPressサイトを守ることも重要です。仮にブルートフォース攻撃がパスワードを見つけられなかったとしても、短時間に大量のログインリクエストがサーバーに送られると、サーバーに過剰な負荷がかかり、サイトの速度低下やダウンを引き起こしかねません。

だからこそ、パスワードを強固で長く、一意で、定期的に更新されたものにすることが極めて重要なのです。

まとめ

ここまで挙げた対策は、WordPressのパスワードセキュリティにおいてすべて重要ですが、多数のパスワードを管理し続けるのは骨の折れる作業です。MalCareを使えば、WordPressサイトとログインページのセキュリティを自動的に守れます。MalCareは定期スキャン、強力なファイアウォール、完璧なマルウェア駆除など、サイトの安全を確保するための多彩なセキュリティ機能を提供しています。

サイト全体のログインセキュリティを強化したい方は、専用ガイドも参考にしてください。しかし、すべてを確実に管理する最も簡単な方法は、MalCareに重労働を任せることです。

よくある質問

WordPressのパスワードを強化するには？

最も簡単な方法は、パスワード管理ツールを使ってパスワードを生成・保存することです。有料のパスワード管理ツールなら、パスワードのバックアップ機能も利用できます。

手動でパスワードを強化する場合は、大文字・小文字、数字、特殊文字を組み合わせましょう。また、一般的な単語や名前の使用は避けてください。

WordPressで強力なパスワードを強制するには？

パスワードセキュリティ系のプラグインを使えば、新しいパスワードを設定するユーザー全員に要件を満たさせることができます。大文字・小文字、数字、記号、句読点の混合を義務付けることで、サイト上のすべてのアカウントを保護できます。

WordPressのパスワードはどのくらいの頻度で変更すべき？

理想的には60〜90日ごとに変更するのがおすすめです。定期的なパスワード変更によりアカウントは大幅にハッキングされにくくなり、セキュリティプラグインを使えばパスワード変更を強制することもできます。

WordPressでパスワードの強度を変更するには？

パスワードの強度は、その複雑さを調整することで変えられます。最も弱いパスワードは複雑性が低い数文字程度のもので、最も強いパスワードは英字・数字・記号を組み合わせたものです。パスワードが長いほど解読が難しくなるため、長さも強度に影響します。