この記事でわかること

  • WordPressのサイトを守るために、始めた後に続けること
  • 本体・テーマ・プラグインの更新の考え方
  • バックアップの取り方と、残しておく数
  • ログインを守るためにすること
  • 使わないプラグインの削除と、管理画面からのファイル編集を止める設定

WordPressのブログやサイトは、始めた後の守りを続けるかどうかで、被害に遭いにくさが変わります。この記事では、WordPress の公式の資料で確かめた内容をもとに、始めた後に続ける守りを、やる順番に並べて紹介します。

WordPressの始め方は、WordPressブログの始め方で紹介しています。この記事では、サーバー会社やプラグインの名前は書きません。機能や条件は、使う前に各社の公式の案内で確かめてください。

守りの全体の順番

先に結論を書くと、最初に更新とバックアップを整え、次にログインを守り、最後に使わないものを減らします。 次の順番で進めます。

順番 やること
1 更新を続ける
2 バックアップ
3 ログインを守る
4 不要なものを消す
5 編集機能を止める

WordPress の公式の資料では、セキュリティは危険をなくすことではなく、危険を減らすことだと説明されています。どれか1つをすれば安全になるわけではないので、いくつかの守りを重ねます。

また、サーバー会社は土台のサーバーを守りますが、サイトに入れたアプリケーションまでは責任を持たない、とも書かれています。WordPress本体やプラグインの管理は、サイトの持ち主の役目です。

手順1: 本体・テーマ・プラグインを最新に保つ

WordPress の公式の資料では、WordPress は常に最新の版に保つように書かれています。古い版には、セキュリティの更新が提供されません。

WordPress 3.7 以降は、小さな更新とセキュリティの更新が、多くのサイトで自動で適用されます。大きな機能の更新は、管理画面の「今すぐ更新」を押して進めます。

テーマとプラグインも、最新の版に保つように書かれています。WordPress 5.5 以降は、テーマとプラグインの自動更新を、1つずつ有効にできます。

  • 本体: 管理画面の「ダッシュボード」→「更新」で、新しい版があるか確かめます
  • プラグイン: 「プラグイン」の一覧で、自動更新を有効にするかを1つずつ決めます
  • テーマ: 「外観」→「テーマ」で、使っているテーマの自動更新を決めます

更新の前には、次の手順2のバックアップを取っておきます。

手順2: バックアップを取り、戻せるようにする

WordPress の公式の資料では、データベースは定期的に、そして更新の前には必ずバックアップを取るように書かれています。データベースには、記事やコメントがすべて入っています。

頻度の目安は、記事の少ない小さなサイトなら週に1回、記事の多いサイトなら毎日です。残しておく数は、少なくとも3〜5つの新しいバックアップを、違う場所に分けて置くことが勧められています。たとえば、サーバーの上、クラウドの保存先、自分のパソコンのように分けます。

  • 何を取るか: データベースと、WordPressのファイルの両方
  • いつ取るか: 決まった間隔と、更新の前
  • どこに置くか: サーバーの外にも置く

バックアップは、取るだけでなく、戻せることも大切です。サーバー会社の機能で戻す方法があるかも、先に確かめておきます。サーバーを移すときのバックアップの考え方は、WordPressのサイトを別のレンタルサーバーへ引っ越す前の確認で紹介しています。

手順3: ログインを守る

WordPress の公式の資料では、ユーザー名とパスワードの組み合わせを何度も試す攻撃を、いちばん単純な侵入の方法として説明しています。次の3つを整えます。

  • 強いパスワード: ほかのサイトと使い回さない、長いパスワードにします。パスワード管理のソフトを使うことも勧められています
  • 二段階認証: 管理者のアカウントで有効にします。WordPressの本体には含まれていないため、プラグインなどで追加します
  • ログインの試行の制限: 何度も続けて失敗したときに、試行を止める仕組みを入れます

ログイン画面のURLを分かりにくくする方法もありますが、公式の資料では、それだけを守りにしないように書かれています。

どこまでやるかの判断

迷ったときは、「管理者のアカウントが乗っ取られたら、何ができてしまうか」で考えます。管理者は、プラグインを入れたり、設定を変えたりできます。そのため、少なくとも管理者のアカウントは、強いパスワードと二段階認証の両方で守ります。

手順4: 使わないプラグインとテーマを消す

WordPress の公式の資料では、プラグインは常に最新に保ち、使っていないプラグインは削除するように書かれています。止めているだけのプラグインも、ファイルはサーバーに残ります。

また、プラグインとテーマは、信頼できない入手先から入れないように書かれています。WordPress.org の公式のディレクトリか、よく知られた提供元のものに限ります。

手順5: 管理画面からのファイル編集を止める

WordPressの管理画面には、初期の状態で、管理者がテーマやプラグインのPHPのファイルを編集できる機能があります。公式の資料では、ログインされたときに攻撃者が最初に使う道具になりやすいとして、この機能を止める設定が紹介されています。

止めるには、wp-config.php に次の1行を足します。これは設定ファイルを書き換える変更なので、作業の前にwp-config.phpのバックアップを取り、変更の後にサイトと管理画面が表示されるかを確かめます。表示されなくなったときは、バックアップのファイルに戻します。

define( 'DISALLOW_FILE_EDIT', true );

この設定で、悪いファイルを送り込まれることまでは防げませんが、一部の攻撃を止められると説明されています。ファイルの編集は、サーバーの管理画面などから行う形に変わります。

使うパソコンの側も守る

サイトの守りは、サーバーとWordPressだけではありません。公式の資料では、WordPressやサーバーの守りがあっても、使うパソコンにキーの入力を盗むソフトが入っていれば意味がない、と書かれています。

パソコンのOSとブラウザーを最新に保ち、知らないサイトから入手したソフトを入れないようにします。

つまずきやすいところ

  • 更新の前にバックアップを取らない: 更新で表示が崩れたときに戻せません。更新の前に取ります
  • バックアップをサーバーの上にだけ置く: サーバーに問題が起きると、一緒に失われます。サーバーの外にも置きます
  • 使っていないプラグインを止めたまま残す: ファイルはサーバーに残ります。使わないものは削除します
  • ログインのURLを変えただけで安心する: 強いパスワードと二段階認証を先に整えます

サーバーをこれから選ぶ場合は、バックアップや復元の機能があるかも比べる項目に入れます。比べ方は初心者のレンタルサーバーの選び方と、2つのレンタルサーバーを比べた記事で紹介しています。

まとめ

  • WordPressの守りは、危険をなくすことではなく、減らすことです。いくつかの守りを重ねます
  • 本体・テーマ・プラグインを最新に保ち、更新の前にはバックアップを取ります
  • バックアップは少なくとも3〜5つを、サーバーの外にも分けて置きます
  • 管理者のアカウントは、強いパスワードと二段階認証で守ります
  • 使わないプラグインは削除し、管理画面からのファイル編集は設定で止めます