「WordPressが乗っ取られた」ってTwitterで見かけたんだけど、セキュリティ対策ってどうすれば？
こんな疑問を解決します。
この記事では「WordPressのログインIDを隠す方法」を簡単にまとめました。
セキュリティリスクを減らすため、設定がデフォルト状態の人はプラグインを利用してログインIDを変更しておくと良いでしょう。
- WordPressのログインIDは晒されてる
- Edit Author Slugプラグインを使おう
- 未対策サイトは乗っ取られる場合も
WordPressのログインIDを確認
ログインIDさえ判明すれば後はパスワードをクラックするだけで。。
WordPressが乗っ取られてからじゃ遅いよね。あらかじめセキュリティ対策はしっかりやっておこう。
まずは自分のWordPressサイトのログインIDが、外部の第三者から見ることができる状態なのかを確認します。
URLをこのように叩いて、
記事を投稿している自分のユーザーIDがこのように出てくると、ログインIDが外部の第三者にばれてクラックされる可能性があります。
デフォルト状態ではIDが表示
ちなみにWordPressはデフォルトでこのような状態になっているので、なにも対応をしていない人は基本的にはログインIDが丸見えの状態になっているはずです。
WordPressのログインページ自体はURLからどこにあるのかすぐにわかるので、ログイン情報が判明してしまうとあとはパスワードをアタックすれば良いだけです。
WordPressの仕組みがわかっている人なら、外からでも簡単に攻撃することができてしまいます
ログインページ自体を変更するセキュリティ対策もありますよね。
EditAuthorSlugでログインIDを隠す
WordPressはログインIDとパスワードが判明すれば、簡単に管理画面に侵入してサイトを改ざんすることができます。
サイト運営者は、まずはログイン部分のセキュリティリスクについて念頭におく必要がありますね。
そこで今回は「Edit Author Slug」というプラグインを使って、ログインIDを隠す方法を書いていきたいと思います。
「Edit Author Slug」の追加方法
まずはWordPressのプラグインメニューから、「新規追加」を選択して「Edit Author Slug」を検索しましょう。
プラグインをインストールして有効化してください。
ユーザー画面で編集に進み「投稿者スラッグ」を任意の文字列に変更してください。
IDが表示されなくなることを確認
https://自分のサイトのドメイン/?author=1と叩いても、対応後は自分のユーザー名は出てこなくなり指定した文字列が表示されるはずです。
これで、ユーザーIDに関するセキュリティ対策は完了です。
このユーザーIDからWordPressのログインページにアタックする手法は、一時期ですが世界的に流行っていました。
対処していないことに気づいた人は早めに処置しておくと良いでしょう。
- Edit Author Slugを有効化する
- ユーザー＞編集＞投稿者スラッグを変更
WordPressのセキュリティリスク
WordPress自体がセキュリティ的に弱いのでは？という意見も目にすることがあります。
またプラグインに脆弱性があったり、アップデートで機能が追加・変更されたりとある程度は最新情報もキャッチアップしていく必要があります。
WordPressのシェアは約４割
WordPressはCMS（コンテンツ管理システム）とよばれ、オープンソースとして無料で使うことができるため広く普及していきました。
世界で見るとWordPressのシェアは年々上がっていて、2020年の12月の時点で38.8％にものぼるとされています。
もはやWEBサイト全体の約4割ほどの比率となっているため、今後はますますWordPressのシェアが増えることが予想されています。
シェア増加に伴い危険性も高まる
シェアが増えると、当然それを狙ってハッキングをする人も増えていきます。
特にWordPressは初心者でも簡単にWEBサイトが作れることから、セキュリティ知識に乏しい人が狙われやすくなっているのが現状です。
まずは最低限のセキュリティ対策から行なっていくべきでしょう。
もしセキュリティ被害にあったら？
もしも実際にWordPressのセキュリティ被害にあった場合は、Codexにも書かれていますが、まずは落ち着くことが重要です。
ログインIDやパスワードの変更、不審なファイルがないかなど確認しましょう。
また、乗っ取り等によりログインできなくなってしまった場合は、バックアップファイルを確認したり、サーバー会社に問い合わせをするなどできることから行なっていくと良いです。
セキュリティ被害にあった実例
自分の場合はサイトが乗っ取られたわけではないのですが、いつのまにか不明なファイルがサーバーに置かれていて、北海道のサイバー警察から連絡を受けたことがあります。
調べて頂いたところ海外の犯罪組織に踏み台にされていたようなのですが、警察に協力していただき、無事に対処することができました。
さらっと言ってるけど、実際に会社に警察から電話がきたらめちゃくちゃ焦りますよね。
同じ失敗をしないためにも対策を
「自分は大丈夫」と思っている人がほとんどだと思いますが、実際に収益が出ているサイトが乗っ取られてしまうケースも見受けられます。
また、自分のように警察が動くような大事に発展する場合もあるので、こういったセキュリティ対策は必ずやっておくとよいでしょう。
もちろん、今回のEdit Author Slugによるセキュリティ対策だけでは、十分とは言い切れません。
しかし、WordPressをデフォルトの状態でそのまま運営してしまっている人が、多いのが実態ではないでしょうか。
実際にセキュリティ被害が起きてしまってからでは遅いのです。
WordPressのおすすめサーバー３選
WordPress用のレンタルサーバーは沢山ありますが、目的や性能、パフォーマンス面などを比較してそれぞれ３つピックアップしています。
初心者向けはエックスサーバー
大きなトラブルもなく、安定したレンタルサーバーを望むならエックスサーバーがおすすめです。
長年の実績があり、現在も多くのアフィリエイターが利用しています。
また、設定方法やトラブルシューティングが記載されたブログ記事もたくさんあるため、参考になる情報を簡単に探すことができます。
中級者向けはConoHa WING
国内のレンタルサーバーで、処理速度がもっとも早いのがConoHa WING
です。
画面UIが扱いにくかったり、SSLの更新でトラブルがあったりと課題はあるものの、サーバーのパフォーマンスは非常に高いです。
サービス自体の歴史は浅いですが、著名アフィリエイターにも人気です。
上級者向けはラッコサーバー
ブログやサイトを立ち上げて、収益がで始めるとサイトを売却して大きな利益を得る方法が流行っています。
将来的にサイトを売却したい人には、ラッコサーバーが圧倒的におすすめ。
ラッコサーバーはリアルタイムのサーバー契約譲渡が行えるため、サーバー移転などの頻雑な作業もなく、スムーズにサイトを売却することができます。
コメント