WordPressのwp-config.phpファイルを保護する方法を徹底解説

ハッカーの視点で考えてみてください。何千ものWebサイトが利用しているプラットフォームに侵入したり、複数のサイトに対してブルートフォース攻撃を仕掛けたりするのは、彼らにとって魅力的な標的です。WP-Scannerのようなオープンソースツールが出回っている現在、初心者レベルの攻撃者でも、プロフェッショナルなWordPressサイトに侵入し、悪夢のような被害をもたらすことが可能になっています。

その中でもwp-config.phpは、サイトの運命を左右する最重要ファイルの一つです。このファイルが漏洩すれば、サイト全体が危険にさらされます。本記事では、wp-config.phpファイルを安全に保護するための手順を詳しく解説します。

WordPressには、数多くのセキュリティ侵害から自身を守るための強化手段が用意されています。この記事では、ハッキングされると深刻な被害につながる中核ファイルであるwp-config.phpの保護方法に焦点を当てていきます。

関連記事：WordPressのfunctions.phpにおけるwp-vcdマルウェアバックドアハックの対処法

wp-config.phpファイルとは？

WordPressサイトを構築すると、「wp-config.php」というファイルが自動的に作成されます。これはWordPressの中核を担う特別な設定ファイルであり、最も重要なファイルの一つです。このファイルには、WordPressサイトのセキュリティを高めるために調整すべき多数の設定パラメータが含まれています。ファイルを開くと、WordPressのデータベース設定時に入力したすべての情報が確認できます。

このファイルには、データベースへのアクセスに必要なユーザー名やパスワードなどの重要情報が格納されています。さらにその下には、WordPressサイトを多方面から保護する「認証用ユニークキー（セキュリティキー）」のセットがあります。また、「table_prefix」という変数もあり、これは情報セキュリティの観点から非常に重要な要素です。これほど重要なデータが一つのファイルに書き込まれているため、wp-config.phpファイルの保護は極めて重要です。もし第三者にこのファイル内の情報を取得されたら、サイトにどれほど深刻な被害が及ぶか想像に難くないでしょう。

wp-config.phpファイルを保護する4つの方法

それでは、WordPressサイトのwp-config.phpファイルを保護するために実施できる具体的な対策を見ていきましょう。

1. .htaccessファイルによるアクセス制限

1. FTPクライアントを使用してWordPressサイトに接続します（通信を暗号化するため、SFTPまたはFTPSの利用を推奨します）。WordPressサイトのルートディレクトリにある.htaccessファイルをダウンロードします。
2. .htaccessファイルを任意のテキストエディタで開きます。
3. 以下のコード行をファイルの末尾に追加します。

# wp-config.phpの保護

<files wp-config.php>

order allow,deny

deny from all

</files>

これらのコードにより、外部からのwp-config.phpへのアクセスやコード改ざんがブロックされ、ファイルが保護されます。

編集が完了したら、「名前を付けて保存」で「すべてのファイル」を選択して保存してください。これにより、テキストエディタが勝手に拡張子を変更することを防げます。保存後は、同じ接続手順でWordPressサイトのルートフォルダにアップロードし、既存のファイルを上書きします。

2. wp-config.phpファイルの移動

通常、wp-config.phpファイルはルートディレクトリに配置されています。しかし、ハッカーにルートディレクトリへ侵入されることは絶対に避けたいところです。そこでベストプラクティスとして、ファイル内の機密データを守るために、wp-config.phpを予測困難な場所へ移動させる方法があります。作業は難しく時間もかかりますが、WordPressサイトのセキュリティの行方を左右する重要な施策です。ただし注意点として、WordPressをアップグレードするたびにソースコードへの変更とメンテナンスが必要になる場合があります。

一般的には、wp-config.phpを一階層上へ移動させ、Webサイトの公開フォルダの外に出すことで保護します。オフライン環境ではドラッグ＆ドロップだけで簡単に行えますが、オンライン環境では以下の手順を実行します。

1. ファイルマネージャーの「移動」ツールを使用する
2. wp-config.phpファイルを選択する
3. 移動ツールを実行する
4. ファイルの移動先ディレクトリを指定する

この作業は簡単には実現できない場合があり、サーバー側の設定によってはホスティング会社への相談が必要になることもあります。しかし、wp-config.phpの移動だけでは完全なセキュリティは確保できません。次に、ファイルの中身を工夫してwp-config.phpをさらに安全にする方法を見てみましょう。

3. wp-config.phpファイルの内容を分割・改変する

新しい設定ファイルを作成する方法もあります。このファイルは、外部からのアクセスや攻撃者から保護するため、WWW経由でアクセスできないディレクトリに作成する必要があります。つまり、サイトのpublic_htmlフォルダ内には置かず、WordPressサイトの訪問者が到達できない場所に保管します。

次に、既存のwp-config.phpファイルを開き、データベース接続情報、データベース接頭辞（プレフィックス）、WordPressセキュリティキーを含む行を新しい設定ファイルへ移動します。新しい設定ファイルの先頭に<?phpを、末尾に?>を追加してください。

機密データをすべて移動した後、wp-config.phpファイルの<?phpタグの直後に以下の行を追加します。

<?php

include('/home/yourusername/config.php');

こうすることで、wp-config.phpが開かれた際に、機密データがWebサーバーの別の場所に保存された独立したファイルから読み込まれます。メインのwp-config.phpファイルには機密情報が一切残らないため、安全性が大幅に向上します。ただし、includeパス（例：/home/yourusername/）はサーバーごとに異なるため、ご自身のサイトの絶対パスに関する十分な知識が必要です。正確なパスを把握して初めて、この手法は正常に機能します。

4. wp-config.phpに適切なファイルパーミッションを設定する

wp-config.phpは、基本設定情報とデータベース接続情報のすべてを含む、ディレクトリ全体で最も機密性の高いファイルの一つです。このファイルに推奨されるファイルパーミッションは「400」です。これは、所有者のみが読み取り可能で、グループやその他のユーザーはファイルにアクセスできないことを意味します。

まとめ：wp-config.phpファイルの保護でWordPressサイトを守る

以上が、wp-config.phpファイルを保護し、ひいてはWordPressサイト全体のセキュリティを高めるための主な方法です。WordPress管理者としては、上記の手順に沿ってwp-config.phpが適切に設定されていることを必ず確認しましょう。また、組織のWebサイトに関わるユーザーにも、セキュリティのベストプラクティスを周知することが大切です。

新しく導入するプラグインは、既知の脆弱性が適切に修正されているか入念に検証する必要があります。管理者としては、セキュリティと利便性のバランスも考慮しなければなりません。すべてのコードが100%安全であることはほぼ不可能だからです。さらに、人気の高いプラグインほど多くの人目に触れるため、脆弱性を探るハッカーの標的にもなりやすくなります。こうした点に留意したセキュリティ対策を実践し、Astraのような信頼できる企業の支援を活用することで、wp-config.phpファイルを保護し、WordPressサイト全体の安全を確保できるでしょう。