WordPressセキュリティ対策｜
まず管理画面の設定から

先にやることは、今の入口を書き出すことです。管理画面のURL、管理者の人数、パスワードの作り方、二段階認証の有無、更新の遅れ、無効のまま残っているプラグイン、です。書き出す前にセキュリティ用のプラグインを足すと、ログインできない、キャッシュと衝突する、更新対象が増える、といった事故が先に来ます。入口の一覧がないまま設定を変えると、戻れなくなったときに何を戻すかが分かりません。

書き出したあと、今の状態を一代残します。ファイルとデータベースの残し方はバックアップの取り方にあります。セキュリティの設定変更は、ログインURLや認証を触るため、失敗すると自分も入れなくなります。残す場所は、公開サーバーの外です。残した日付を、このあとの作業メモの先頭に書きます。

次に、公開面と管理面の「今の正常」を残します。トップ、問い合わせ、ログイン画面、ユーザー一覧のスクショかメモです。設定を変えたあと、ログイン画面の見た目が変わっても、それが意図なのか改ざんなのかを見分ける材料になります。検索結果に警告が出ていないかも、先に一度見ておきます。警告がすでに出ている場合は、設定の話より点検の切り分けが先です。

先にやらないことも決めます。見知らぬファイルの削除、データベースの直接編集、複数のセキュリティプラグインの同時導入、PHPの版変更とログインURL変更の同日実施、です。これらは入口を閉じる作業というより、壊れ方を増やす作業になりやすいです。今月閉じる入口は、ログイン、URLと認証、更新、権限の四つに限ります。四つで手が止まるなら、そこで止めて記録を残します。

対象のサイトが複数ある場合は、一つずつ進めます。同じパスワードを使い回していると、一つの設定変更の失敗が他サイトのログインにも波及します。先に、サイトごとの管理者メールが届く宛先かを確認します。届かない宛先のままパスワードを変えると、再設定のメールも届きません。予備の自分用アドレスを、管理者として残せるかも先に見ます。

先にやる作業の所要は、書き出しとバックアップで一区切り、ログインと権限で一区切り、URLと認証で一区切り、に分けると戻りやすいです。同じ夜に四つを一気に変えると、翌朝入れなくなったときに、どれを戻すかが分かりません。一区切りごとに、今のURLでログインできるかを確認してから次へ進みます。確認できない予定がある週は、その区切りを翌週へ送ります。送った事実も、先にやることの一部です。

ログインの対策は、推測されにくい認証情報と、残さない管理者と、失敗の制限です。ユーザー名が admin のまま、パスワードが他サービスと同じ、メールアドレスが使っていないフリー、という三つは、更新より先に直します。ユーザー名は、管理画面から変更できないことがあります。その場合は、新しい管理者を作り、動作を確認してから古い管理者を消します。先に古い方を消すと、新しい方が作れないまま入れなくなります。

パスワードは、サイト専用にします。使い回しをやめるだけで、他サービスからの漏れがこの管理画面へ来にくくなります。長さと文字種は、自分がパスワードマネージャで扱える範囲で長くします。紙に書いた短い語を毎月変える運用は、漏れます。マネージャが使えない環境では、長い文章をサイト専用にして残す方が、短い語の使い回しより安全です。

二段階認証は、入れるなら管理者から先です。投稿者まで一気に強制すると、現場の更新が止まり、誰かが認証を迂回する経路を作ります。入れる前に、予備コードの保存場所を決めます。予備コードを同じメールの受信箱だけに置くと、メールが読まれた日に二段階も終わります。手元のオフラインな場所へ、管理者の人数分だけ残します。

失敗の制限は、同じ住所から短い時間に何度も失敗したときに、一時的に受け付けない設定です。制限のしきい値を極端に低くすると、自分の入力ミスでロックされます。ロックされたときの解除方法を、サーバー側で持っているかを先に確認します。解除方法が分からないまま制限だけ入れると、営業時間中に管理画面へ入れません。制限用のプラグインを足す場合も、一つに限り、バックアップのあとで入れます。

ログインの通知メールが届く設定があるなら、管理者宛に残します。身に覚えのない成功通知は、パスワード変更より先に、そのアカウントの権限を下げます。通知が来ないから安全、ではありません。通知設定がオフのまま、知らない管理者が増えていることがあります。ユーザー一覧を、ログイン設定と同じ日に見ます。知らないアカウントの扱い方は、権限の章へ分けます。

ログイン画面に表示しているサイト名と、実際の公開名が違う場合は、偽のログイン画面との見分けが難しくなります。今の正規の画面を、手元に残しておきます。残していないと、検索から来た似た画面に自分でパスワードを入れることがあります。正規の画面へは、自分で控えたURLだけから入ります。検索結果の「ログイン」リンクは使いません。控えたURLが開けない日は、新しい画面を探す前に、サーバーの公開状態を見ます。

初期のログインURLは、公開されている入口です。変えると、機械的な試行の対象は減ります。ただし変えただけでは、パスワードが弱い管理者は残ります。URL変更は、ログインの補強であって、更新や権限の代わりではありません。変更の手順と戻し方はログインURL変更に分けています。この記事では、変える前に決めることだけを書きます。

変える前に決めるのは、新しいアドレスの控え、戻し方、ブックマークの更新、制作や更新代行へ伝える範囲です。控えないまま変えると、翌日自分も入れません。戻し方を持たないまま変えると、サーバーの設定ファイルを見ながら復旧することになります。設定ファイルの編集に慣れていない場合は、URL変更はその月は見送り、ログインと権限だけを先に閉じます。

URLを変えたあと、古いアドレスが残っていないかを見ます。メニュー、マニュアル、チャットの履歴、ブラウザの補完に古いアドレスが残っていると、そこから試行されます。公開している「ログインはこちら」のリンクも直します。公開面に管理画面へのリンクを出しているサイトは、リンクを外す方が、URLを変えるより先に効くことがあります。

認証を足す方法として、サーバー側で管理画面ディレクトリに追加の認証を置くやり方があります。WordPressのログインの前に、もう一枚扉を置く形です。扉のユーザー名とパスワードは、WordPressの管理者とは別にしてください。同じにすると、片方の漏れが両方を開けます。追加の認証を置くと、連携サービスや更新用の自動処理が止まることがあります。止まった処理の一覧を、入れる前に書き出します。

通信が暗号化されていない管理画面は、ログインそのものが途中で読まれます。証明書の有効と、管理画面が暗号化で開くかを先に見ます。証明書の期限が近い、混在している、リダイレクトが中途半端、といった状態でログインURLだけ変えても、途中の読み取りは残ります。証明書と配信を手前でまとめたい場合は、既存の移管の作業があります。ここでの料金は、公開している税別14,800円から以外を作りません。

XML-RPC や、アプリ連携の入口が開いたままのサイトは、ログインURLを変えても別の扉が残ります。使っていない連携は閉じ、使っている連携は発行元と日付を残します。閉じる操作でスマートフォンの更新アプリが止まることがあるので、止めてよい連携かを先に現場へ確認します。確認せずに全部閉じると、翌朝の投稿ができなくなり、現場が古い入口の復活を依頼します。復活の依頼が続くと、URL変更の意味が薄れます。

更新は、管理画面の設定と同じ軽い操作に見えて、公開中のプログラムを入れ替える作業です。セキュリティ対策としての更新は、遅れをなくすことと、上げない理由を残すことの両方です。通知が並んでいるから全部押す、ではありません。押す前にバックアップを取り、一塊ずつ上げ、公開面を見ます。順番は運用方法の更新の章に合わせます。

優先して見るのは、配布元がセキュリティ修正と書いている更新です。見た目の変更だけの更新より先に、入口を閉じる更新を当てます。説明が空の更新は、配布元のサイトで変更履歴を見ます。履歴が無い、最終更新が古い、今のアーカイブから消えている、といったプラグインは、更新ボタンより先に、残すか外すかの判断になります。判断の材料は脆弱性の見方と、プラグインの脆弱性チェックに分けています。

自動更新は、便利な一方で、確認なしに公開面が変わります。本体のマイナーだけ自動、プラグインは手動、といった分け方が扱いやすいです。全部自動にしているサイトは、壊れた日に「何が上がったか」が残りません。自動にするなら、上がった内容がメールかログで残る設定にします。残らない自動は、対策ではなく放置です。

無効のプラグインと使っていないテーマも、更新の対象に出ます。無効でもファイルは残るので、既知の入口になり得ます。更新して残すか、バックアップのあとで消すかを決めます。消す判断がつかない名前は、有効化した覚えと、配布元を調べてから翌月へ送ります。親テーマや、今の子テーマが依存しているものは消さないでください。

更新のあと管理画面が開かない場合は、追加のセキュリティ設定を足さないでください。先に、直前のバックアップへ戻すか、問題のプラグインをファイル側で止めるかです。開けない状態でログインURLを変えると、戻り方が二重に分からなくなります。ログインできない切り分けはログインできないときへ分けています。

更新をセキュリティ対策として残すなら、上げた名前と、上げなかった名前を同じメモに書きます。上げた名前だけ残すと、翌月また同じ見送りを最初から議論します。上げなかった理由が、互換、カスタム、配布停止のどれかを一行で足します。理由の無い見送りは、対策ではなく先送りです。先送りが決済やログインに重なる場合は、その月のうちに照合記事へ渡します。

権限の対策は、入れる人を減らすことと、その人に渡す操作を減らすことです。管理者は、設定とユーザーとプラグインを変えられる人だけにします。お知らせを書く人は編集者や投稿者へ寄せます。制作が終わった外部アカウントは、作業が残っているか確認してから下げます。残作業が不明なまま消すと、更新用の接続も切れます。切れる前に、どの連携がどのユーザーに紐づいているかを見ます。

ユーザー一覧で見るのは、名前、メール、権限、登録日です。登録日が古いのに先月ログインした覚えがないアカウントは、パスワードを変えるか、ログインできない状態にします。メールが個人の携帯キャリアのまま、退職者の名前のまま、といったアカウントは、今の担当へ移してから消します。移す前に消すと、受信していた通知も消えます。

アプリケーションパスワードと、連携用の接続は、ユーザー画面の外に残ることがあります。使っていない連携は切ります。残す連携は、発行した日と用途をメモします。用途が分からない接続は、切ったあとに何が止まるかを営業時間外に試します。営業時間中に全部切ると、フォームや予約の通知が止まっても気づきが遅れます。

ファイル側の権限も、管理画面の権限と対になります。設定ファイルが誰でも書ける、アップロードフォルダの外に実行ファイルが置ける、といった状態は、ログインを強くしても残ります。数字を見慣れない場合は、レンタルサーバーの推奨値を確認し、推奨から大きく外れている場所だけ直します。全部を同じ数字へ揃えると、更新やメディア追加が止まることがあります。

権限を変えたあとは、その人の操作で投稿、メディア、設定のどこまで触れるかを本人に確認してもらいます。確認しないと、現場が管理者へ戻してくれ、と依頼して終わります。戻す依頼が続くなら、権限の設計が現場の作業とずれています。ずれをプラグインで隠すより、作業に必要な権限へ寄せます。寄せ方が分からない場合は、その月は管理者を増やさず、記録だけ残します。

権限の変更は、ユーザー画面だけでなく、各プラグインが独自に持っている役割にも及びます。会員、フォーム、予約、SEOの製品が、別の役割名を足していることがあります。WordPress標準の権限を下げても、製品側の役割が管理者相当のまま残ると、入口は閉じません。製品側の役割画面を、ユーザー確認と同じ日に一度開きます。開いて分からない名前は、その月は触らず、製品名と役割名だけを記録します。

頻度は、毎月と同じ周期で見るものと、変化が起きた日に見るものに分けます。毎月見るのは、ユーザー一覧、更新の遅れ、ログインURLの控え、二段階の予備コードの所在、サイトヘルスの警告です。変化が起きた日に見るのは、担当の交代、制作の納品、プラグインの追加、PHPの変更、検索警告、見知らぬ管理者の出現です。毎月の点検で全部をやろうとすると、続きません。

毎週見る必要があるのは、更新通知が多いサイトと、複数人が毎日ログインするサイトです。通知が少ないサイトは、毎週見ても差分がありません。差分が無い点検は、形だけ残って中身が空になります。空の点検より、毎月の記録の五行の方が後で使えます。記録の残し方は運用記事の記録の章に合わせます。

常時の監視は、管理画面の設定頻度とは別です。サイト当番ではサーバーの死活を全プランで24時間365日、1秒単位で見ます。マルウェアと改ざんの常時監視はスタンダード月額17,800円以上です。兆候が出たあとは、決めた手順を走らせつつ、人が本当に問題かを見てから進めます。管理画面の設定を毎月正しくしても、公開ファイルの書き換えは管理画面の外で起きます。設定の頻度を上げることが、常時監視の代わりにはなりません。

設定を変えた月は、変えた翌日にもう一度ログインできるかを見ます。URL変更、追加認証、二段階、失敗制限は、翌日の自分を閉め出すことがあります。翌日見られない予定がある週には、これらの変更を入れないでください。戻し方のファイルと、予備の管理者を、変更と同じ日に手元へ残します。

頻度を上げたくなるのは、ニュースで大きな案件が出た週です。その週に管理画面の設定を全部やり直すと、通常の毎月と事故対応が混ざります。ニュースの案件は、まず自分の本体とプラグインの版が対象かを照合します。照合の手順は脆弱性記事へ分け、この記事では設定の頻度を変えません。対象でない週に設定をいじると、戻し方が増えるだけで入口は閉じません。

対策のあとに残すのは、変えた項目、戻し方、残した世代、入れなくなったときの連絡先です。変えた項目だけ書くと、戻し方が残らず、次の担当が同じ作業を恐れて元へ戻します。戻し方まで残すと、次の月の見直しが速くなります。連絡先は、サーバー、ドメイン、制作、運用の四つが別々になりがちです。四つを一つのメモに並べます。

公開面の確認は、トップ、下層、フォーム、ログイン画面です。ログイン画面の見た目が変わった場合は、意図した変更かをメモします。意図していない文言や、見知らぬリダイレクトがある場合は、設定の成功ではなく改ざんの切り分けへ移ります。自分で怪しいファイルを消し始めないでください。応急の範囲は改ざんにあります。

対策のあとにやりがちなのは、安心のためにセキュリティプラグインを重ねることです。ログイン制限、ファイアウォール、スキャン、二段階が別々のプラグインになると、更新と衝突の切り分けが長くなります。今の設定で閉じた入口を記録し、足りないものだけを翌月の候補にします。候補を同じ日に全部入れないでください。

脆弱性の一覧との照合は、設定のあとで行います。設定で入口を閉じても、古いプラグインの既知の入口は残ります。照合の見方は脆弱性一覧の見方です。設定の記事と照合の記事を同じ日に全部やると、どちらで壊れたか分からなくなります。設定を安定させた週のあとに、照合へ進みます。

対策のあとに残る不安は、設定を足す材料にはしません。残る不安の中身を、ログイン、URL、更新、権限のどれが未完了かに分けます。未完了が無いのに不安だけがある場合は、公開面の監視の話です。監視は管理画面の設定頻度では代替できません。設定のメモが揃った状態で点検へ渡すと、初回の切り分けが速くなります。メモが無い状態で渡すと、入口の聞き取りから始まります。

自分で難しい時点は、ログインURLを変えて入れなくなった、二段階の予備を無くした、知らない管理者が消えない、更新したら管理画面が白い、検索に警告が出た、です。この時点でさらに設定を足すと、戻り方が増えます。先に、残してある世代と、今開ける入口を書き出します。入口が一つも無い場合は、サーバー側から戻す作業になります。

管理画面の設定を毎月自分で持てない、複数サイトの権限を追えない、警告のあとの切り分けが分からない、といった場合は、サイト改ざん・マルウェア駆除の窓口へ戻します。監視はスタンダード月額17,800円以上で24時間365日、1秒単位です。すでに感染や警告がある場合の緊急は税別29,800円からです。人が問題かを見てから進めます。

日常の更新まで含めて回したい場合は、WordPress保守が同じ系列です。設定だけ見て更新が残ると、翌月また入口が開きます。公開URLを送っていただければ、ログインの残り方、更新の遅れ、権限の広さを切り分けて返します。新しい料金枠は作りません。