WordPressは世界中で広く使用されており、その人気と共にセキュリティの脅威も増加しています。
WordPressの普及率が高まるにつれて、悪意のある攻撃者もそのターゲットとして選ぶ確率が上がっています。セキュリティを無視したWordPressサイトは、パスワード攻撃、マルウェア・スパム、SQLインジェクション、クロスサイトスクリプティング（XSS）などの脅威に晒される可能性があります。
しかしながら、お客様から既存のWordPressの改修や引継ぎをご依頼いただいたサイトを見てみると、セキュリティ対策が全く施されていないというサイトに遭遇することが多々あります。
では、なぜセキュリティ対策が施されていないか？
恐らく多くの方に共通しているのが下記のような状況なのではないでしょうか？
- そもそも保守が必要なものだと知らなかった
- 自分自身で運用しているけどいまいち何を対策したら良いのか分からずそのまま放置
- 「放っておいても何も起きないし、保守費用もバカにならないので問題無し！」
しかしながら、WordPressにおいては保守をしなくていい、なんてことは絶対にありえないので制作会社への保守費用が高いな～と感じるのであれば、ご自身で必要最低限の知識と対策方法は身に付けておくことが大事です。
でないと、結果的にサイバー攻撃を受けてサイトの復旧に「保守費以上の金額が必要」なんてことも起きてしまいます…
本記事では、WordPressサイトのセキュリティに関する重要性とその脅威に焦点を当て、対策方法について詳しく説明します。
セキュリティの脅威
パスワード攻撃
パスワード攻撃は、弱いパスワードを推測したり、辞書攻撃やブルートフォース攻撃を行って不正にアカウントにアクセスする手法です。管理者やユーザーが簡単なパスワードを使用すると、サイトが容易に侵害されます。
マルウェア・スパム
WordPressサイトにマルウェアやスパムを注入する攻撃は、サイトの信頼性を損ない、検索エンジンからのランキングを低下させる可能性があります。悪意のあるスクリプトを含むファイルがサイトにアップロードされ、訪問者に悪質なリダイレクトを行うこともあります。
SQLインジェクション
SQLインジェクションは、不正なSQLコマンドがWebアプリケーションに送信され、データベースに対する攻撃が行われることです。この攻撃により、攻撃者はデータベースから機密情報を盗み出す、データの改ざんを行う、またはデータベースを破壊することが可能です。
ログイン画面や検索画面のあるサイトの場合、その入力フォームに不正なSQLコマンドを混ぜ込み、サーバーに実行させることによって、データベースから不正に情報を盗んだり、サイトを改ざんしたりします。
クロスサイトスクリプティング（XSS）
XSS攻撃では、攻撃者が悪意のあるスクリプトをWebページに注入し、訪問者のブラウザで実行されます。これにより、攻撃者はCookieやセッションIDなどの機密情報を盗み出し、ユーザーを誘導して悪質な操作を行わせることができます。
不正アクセス
不正アクセスは、WordPress管理画面への不正なログインや、ファイルやディレクトリへの不正なアクセスを指します。攻撃者は、管理者アカウントへの不正ログインを試み、サイトの制御を奪おうとします。
セキュリティ対策
強力なパスワードの設定と管理
管理者とユーザーは、十分に複雑で予測困難なパスワードを使用することが重要です。また、定期的にパスワードを変更し、パスワードマネージャーを使用して安全に管理することも推奨されます。
例えば、下記のような自動でパスワードを生成してくれるサービスもあるので、ぜひ利用してみてください。
WordPressのアップデートを維持する
個人的には個人でできる一番簡単で確実なセキュリティ対策ではないかなと思っています。
WordPressの最新バージョンにアップデートすることで、新しいセキュリティパッチや修正が適用され、脆弱性が解消されます。しかしながら、アップデートによって表示崩れや予期せぬ不具合が発生する可能性も捨てきれないため、定期的なバックアップを取得し、アップデート前にテストを行うことも重要です。
また、プラグインを複数導入している場合はプラグインのアップデートも定期的に行うようにしましょう。
こういった脆弱性をひとつずつ潰していくことが、結果的に上記で例に挙げた、SQLインジェクションや、クロスサイトスクリプティング対策に繋がります。
セキュリティプラグインの利用
WordPressのセキュリティプラグインを使用することで、サイトのセキュリティを強化することができます。これらのプラグインは、不正アクセスを監視し、不正なログイン試行をブロックするなどの機能を提供します。
例えば「All-in-one WP security」などはこれ一つである程度のセキュリティ対策が整うくらい優秀なプラグインですし、2024年4月現在は定期的なプラグインアップデートも行われているようなので、とりあえず「セキュリティのことは全然分からないし、お金もそこまでかけられない…」という場合にはこちらを使用してみても良いんじゃないかと思います。
インストール方法や設定方法に関しては下記の記事で詳しく解説していますので併せてご覧ください。
バックアップの取得と管理
定期的なバックアップを取得し、重要なデータやファイルを保護することが不可欠です。バックアップは、サイトが攻撃やデータ損失に見舞われた場合に、迅速な復旧を可能にします。
二段階認証の設定
二段階認証を有効にすることで、不正なアクセスを防止することができます。ログイン時に追加の認証情報（通常はSMSコードやワンタイムパスワード）を要求することで、セキュリティを強化します。
ユーザーアクセスの管理
権限の設定と管理
WordPressでは、ユーザーごとに異なる権限を設定することができます。最小限の必要な権限のみを付与し、不要なアクセス権を削除することで、セキュリティを向上させることができます。
基本的に記事を投稿するだけのユーザーには「管理者」の権限を与える必要はありませんので、「投稿者」などに設定しておきましょう
不要なユーザーアカウントの削除
不要なユーザーアカウントを削除することで、不正なアクセスや情報漏洩のリスクを軽減することができます。退職した従業員や利用しなくなったアカウントを定期的に確認し、削除することが重要です。
ログの監視と異常を検知する方法
こちらの対策は少々難易度が高いですが、セキュリティプラグインなどを導入することで解決できます。
WordPressサイトのログを定期的に監視し、不審なアクティビティや異常を検知することが重要です。異常なログイン試行やファイルの変更などの活動に警戒し、早期に対処することが必要です。
その他のセキュリティ対策
SSL証明書の導入
SSL証明書を使用することで、データの暗号化と送信の安全性を確保することができます。これにより、ユーザーのプライバシーとデータの保護を強化することができます。
エックスサーバーなどの一般的なレンタルサーバーでは無料で利用できます。
ホスティングサーバーのセキュリティ確保
信頼性の高いホスティングサービスを選択し、適切なセキュリティ対策が実施されていることを確認することが重要です。DDoS攻撃やハードウェアの故障などのリスクに備えるため、バックアップと復旧計画を策定することも重要です。
セキュリティに関する教育とトレーニングの実施
WordPressサイトの管理者やユーザーに対して、セキュリティに関する教育とトレーニングを実施することが重要です。セキュリティ意識の向上や最新の脅威に対する理解を促進し、セキュリティリスクを最小限に抑えることができます。
まとめ
WordPressサイトのセキュリティは、サイトの信頼性とデータの保護にとって極めて重要です。パスワードの強化、定期的なアップデート、セキュリティプラグインの利用、ユーザーアクセスの管理などの対策を実施することで、WordPressサイトを安全に運用することができます。常に最新の脅威に対する警戒心を持ち、適切な対策を講じることが、WordPressサイトのセキュリティ確保に不可欠です。