前回は、30本ほど書いたブログが消えたら困る！と思って、WordPressのバックアップと更新のやり方を公式で調べました。
そこで次に気になったのが、「そもそも、私のブログって守れてるの？？」ということ。消えるのも怖いけど、誰かにログインされて勝手にいじられるのはもっと怖いです。
今回は、WordPressの公式の案内を読んで、パスワード・ユーザー名・2段階認証・ログイン制限・使っていないプラグインのことを調べてみました。最後に、私のブログで先にやることの順番も決めます。
バックアップを調べたら、次は「そもそも守れてる？？」が気になった！
前回わかったのは、更新とバックアップが大事ということ。でもそれは「何かあったあと」に戻すための備えです。
じゃあ「何かが起きないように」するには？？と思って、公式の開発者向けハンドブックにある「WordPressの安全性を高める（Hardening WordPress）」というページを読んでみました。
WordPressの公式は何をすすめてるの？？「WordPressの安全性を高める」を読んでみた
英語のページなので少しずつ読み進めました。私が読み取れた主な対策は、こんな感じです。
- WordPressを常に最新に更新する（古いバージョンにはセキュリティの更新が出ない）
- 強いパスワードを使い、さらに2段階認証を有効にする
- プラグインやテーマは信頼できるところからだけ入れる
- 使っていないプラグインは削除する
- ファイルの権限はできるだけ厳しくする
- 定期的にバックアップを取って、戻す方法を決めておく
更新とバックアップは前回調べたので、今回は「ログインまわり」と「プラグイン」に絞ります。ファイルの権限はサーバーの話で私にはまだ難しく、今回は読むだけにしました。
パスワードとユーザー名、私のは大丈夫？？管理者アカウントで気をつけること
まずはパスワード。WordPress公式のパスワードの案内（Password Best Practices）では、目安は20文字以上、できればもっと長く、と書かれていました。思っていたよりずっと長いです！
| 公式の案内 | 中身 |
|---|---|
| 長さ | 20文字以上（できればもっと長く） |
| まぜるもの | 大文字・小文字・数字・記号 |
| 避けるもの | 名前や誕生日、「123」のような連番、「admin」「password」のようなありがちな言葉 |
| 使い回し | 複数のサイトで同じパスワードを使わない |
| 作り方 | 「パスワードを生成」ボタンで24文字の強いパスワードが提案される。覚えるのはパスワード管理ツールに任せる |
パスワードを変えるときは、強さを表示する「パスワード強度メーター」も出るそうです。
次はユーザー名。ハードニングのページには、管理者のユーザー名に「admin」や「webmaster」のような推測されやすい言葉を使わない、と書かれていました。真っ先に攻撃されやすいからだそうです。
ユーザー名は、あとから変えられないんだって！公式の説明では、管理者でも変更できないと書いてあったよ。「admin」にしていたときの切り替えの手順は、公式のページでは見つけられなかったんだ。
ついでに、ユーザーの役割も調べました。インストールすると管理者アカウントが自動で作られて、ほかにもこんな役割があるそうです。
| 役割 | できること |
|---|---|
| 管理者 | サイトのすべての管理機能を使える |
| 編集者 | ほかの人の投稿も含めて、公開・管理できる |
| 投稿者 | 自分の投稿を公開・管理できる |
| 寄稿者 | 自分の投稿を書いて管理できるが、公開はできない |
| 購読者 | 自分のプロフィールだけ管理できる |
今は一人で書いているので管理者だけ。誰かに手伝ってもらう日が来たら、必要なだけの役割にします。
2段階認証やログイン制限はプラグインが要るの？？SiteGuard WP Pluginを調べてみた
2段階認証は、知っている「パスワード」に加えて、スマホなど「持っているもの」も使ってログインする方式です。公式のパスワードの案内ではすすめられていましたが、「今はサードパーティのプラグインを入れる必要がある」とのこと。WordPressの本体には標準で入っていないんです。
そこで、WordPress.orgのプラグインディレクトリで2つのプラグインを調べてみました。
| SiteGuard WP Plugin | Two-Factor | |
|---|---|---|
| 作っているところ | EG Secure Solutions Inc.（EGセキュアソリューションズ） | WordPress.org（コミュニティが開発） |
| 主なこと | ログインページの変更、画像認証、ログインロック、ログイン通知、更新のメール通知など | 2段階認証（認証アプリ、メールのコード、バックアップコード） |
| 有効インストール数 | 500,000+ | 100,000+ |
| 必要なWordPress | 6.0以降 | 7.0以降 |
SiteGuard WP Pluginには、ログインに何度も失敗したIPアドレスを一時的にロックする「ログインロック」があって、ログイン試行の制限はこれでできそうです。
SiteGuard WP Pluginの機能の一覧には、認証アプリを使う2段階認証は見当たらなかったよ。それに、メーカーのページには2024年と2026年にこのプラグインの脆弱性のお知らせが出ていたんだ。守るためのプラグインでも、入れたら更新を続けないといけないね。
Two-Factorは、認証アプリとバックアップコードがおすすめとされていました。WordPress公式の2段階認証の説明には、スマホを家に忘れるとログインできなくなる短所も書かれていたので、バックアップコードは必ず控えておくつもりです。
使っていないプラグインとテーマは消す？？止めるだけじゃダメな理由
私は「使わないプラグインは停止しておけばいいかな」と思っていました。でも、ハードニングのページには、使っていないプラグインは「システムから削除する」とはっきり書かれていました。
テーマについては、「ツール」→「サイトヘルス」の「情報」タブに、使っていないテーマとプラグインの一覧が出るそうです。公式の説明では、使う予定のないテーマは削除がすすめられていました。
「停止しただけだとファイルが残るから危ない」という説明はよく見かけるけど、公式でそこまで書いた文は見つけられなかったよ。でも「使っていないなら削除」は公式がはっきり書いているから、それに従えば迷わないね。
今回わかったことと、次にやること
- パスワードの目安は20文字以上。覚えるのはパスワード管理ツールに任せる
- 管理者のユーザー名に「admin」は使わない。ユーザー名はあとから変えられない
- 2段階認証は本体に入っておらず、プラグインが必要
- 使っていないプラグインは停止ではなく削除
私のブログで先にやる順番は、こう決めました。
- 自分の管理者のユーザー名が何になっているか確かめる
- パスワードを「パスワードを生成」で作り直して、管理ツールに保存する
- サイトヘルスで、使っていないプラグインとテーマを確かめて削除する
- バックアップを取ってから、ログインを守るプラグインを1つ選んで入れる
1〜3番は、プラグインを入れなくても今日からできるね！プラグインを入れる前には、前回調べたバックアップを先に取っておくと安心だよ。
怖がっているより、できることから1つずつやるほうが気持ちも楽になりそうです。次は実際にユーザー名とプラグインの一覧を確かめて、何を消したか・何を入れたかを記録します！
コメント