強化された認証と権限管理
セキュリティ対策の第一線はアクセス制御から始まります。認可されたユーザーのみがウェブサイトのバックエンドにアクセスできるようにすることは、非常に重要な基本手順です。
高強度のユーザー名およびパスワードポリシーを採用する
デフォルトの「admin」というユーザー名と簡単なパスワードは、ハッカーにとって最も標的になりやすいものです。このようなデフォルトのユーザー名の使用は絶対に避ける必要があります。また、すべてのユーザー（特に管理者）に対して、大文字、小文字、数字、特殊記号を含む複雑なパスワードの作成を強制するべきです。このルールを厳守するために、パスワードポリシー管理のプラグインの導入を検討してください。
二要素認証（2FA）メカニズムを導入する
管理者アカウントやすべてのユーザーアカウントに二要素認証（2FA）を有効にすると、セキュリティが大幅に向上します。パスワードが誤って漏洩しても、攻撃者は第二段階の認証（例えばスマートフォンで受け取る認証コードや認証アプリが生成する動的トークン）を回避することができません。このようなプラグインを使用すると… Wordfence Security または Two-Factor どちらも信頼性の高い2FA（二段階認証）機能を提供しています。
推薦図書 WordPress最適化の究極ガイド：パフォーマンスからセキュリティまで、全方位の高速化策。
管理者ユーザーの数を制限し、役割を合理的に割り当てる
厳格な審査を経て所有するadministrator役割を持つユーザーの数。最高権限は絶対に必要な人員のみに与えるべきです。コンテンツ編集者や著者などには、適切な権限レベルを設定する必要があります。editor、author低権限のロールについては、「最小権限の原則」に従い、ユーザーが仕事を遂行するために必要な最低限のアクセスレベルのみを付与する。
コアシステムおよびファイルのセキュリティを強化する
WordPressのコア、テーマ、プラグインを常に最新の状態に保つことは、最もコストがかからずに効果的なセキュリティ対策です。さらに、ファイルやディレクトリに適切なアクセス権を設定することも不可欠です。
システムおよびコンポーネントを常に最新の状態に保つ
開発者は発見されたセキュリティ脆弱性を継続的に修正し、その修正パッチをアップデートに含めます。WordPressのコア本体、インストールされているすべてのテーマ（有効でも無効でも）、およびすべてのプラグインを常に最新バージョンに保つ必要があります。バックエンドでの自動アップデート機能を有効にすること（WordPress 5.5以降のバージョンでサポートされている）は良い習慣です。
正しいファイルおよびディレクトリのアクセス権を設定する
不安全なファイルのアクセス権限により、攻撃者が悪意のあるファイルを書き込んだり実行したりする可能性があります。推奨されるファイルのアクセス権限設定は以下の通りです：すべてのディレクトリは755、すべてのファイルは644に設定してください。特に重要な設定ファイルについては、この設定を守ることが重要です。wp-config.php設定値は600または640にする必要があります。これにより、特にデータベースのパスワードなどの内容が他のユーザーに読み取られるのを防ぐことができます。
# 设置目录权限为755
find /path/to/your/wordpress/ -type d -exec chmod 755 {} ;
# 设置文件权限为644
find /path/to/your/wordpress/ -type f -exec chmod 644 {} ;
# 单独设置wp-config.php权限
chmod 600 /path/to/your/wordpress/wp-config.php機密な設定ファイルを保護する
wp-config.phpファイルはWordPressの中核であり、データベース接続情報やセキュリティキーが含まれています。権限を変更するだけでなく、このファイルをWebのルートディレクトリではない上位ディレクトリに移動することも可能です。WordPressは自動的にその新しい場所を認識します。ただし、その際には注意が必要です。.htaccessファイルは適切に保護されており、ディレクトリリストの表示を防いでいます。
推薦図書 WordPressのコアファイルである`wp-config.php`の設定の秘密とベストプラクティスを解説します。。
ファイアウォールおよびセキュリティプラグインの導入
専門的なファイアウォールやセキュリティプラグインを利用することで、ほとんどの悪意のあるトラフィックや自動化された攻撃を事前にブロックし、ウェブサイトをリアルタイムで保護することができます。
Webアプリケーションファイアウォールをインストールし、設定します。
Webアプリケーションファイアウォール（WAF）は、SQLインジェクションやクロスサイトスクリプティング（XSS）攻撃などの悪意のあるリクエストをフィルタリングし、ブロックすることができます。多くのセキュリティプラグインにはWAF機能が組み込まれています。Sucuri Security、Wordfence SecurityとiThemes Securityこれらのプラグインは、既知の悪意のあるIPアドレスのアクセスを阻止し、マルウェアのスキャンを防ぎ、ログイン試行の制限を提供することができます。
バックエンドのログインアドレスを非表示にする
デフォルトの/wp-adminと/wp-login.php</code]登录地址是公开的，容易遭受暴力破解攻击。通过安全插件或修改代码，可以将其更改为一个唯一的、难以猜测的地址。例如，使用iThemes Security「ログインページの名前を変更する」機能です。
ログイン試行回数の制限および監視機能を有効にします。
同一IPアドレスからのログイン試行回数を一定時間内に制限することで、ブルートフォース攻撃を効果的に防ぐことができます。試行回数が設定された閾値を超えた場合、システムはそのIPアドレスを一時的に、または永久にロックするべきです。セキュリティプラグインには通常、この機能が搭載されています。また、ウェブサイトのトラフィックやファイルの変更を監視し、疑わしい活動があった場合にはメールでアラートを送信するように設定するとよいでしょう。
データベースおよび接続層のセキュリティを実施する
データベースは、ウェブサイトのコンテンツを保存する場所です。そのセキュリティを確保し、データの送信を暗号化することが、データ漏洩を防ぐための鍵となります。
データベースのデフォルトプレフィックスを変更する
WordPressのデフォルトのデータベーステーブルの接頭辞は「wp_」です。wp_これにより、攻撃者はSQLインジェクション攻撃を行う際にテーブル名を推測しやすくなります。WordPressをインストールする際、またはその後にセキュリティプラグインを使用するか、手動で設定を変更することでこの問題を解決できます。wp-config.php（ファイル名）を、推測しにくいユニークな接頭辞に変更してください。例えば：myprefix321_。
推薦図書 WordPressの最適化に関する究極ガイド：速度、セキュリティ、SEOランキングを向上させるための20の実践的なテクニック。
SSL/TLS暗号化接続の強制実施
お客様のウェブサイトにSSL証明書をインストールし、すべての管理バックエンドおよびユーザーログインページでHTTPSプロトコルを使用してデータを送信するように設定してください。これにより、データが送信中に盗聴されたり改ざんされたりするのを防ぐことができます。詳細については、以下のリンクを参照してください：wp-config.phpファイルに以下のコードを追加して、バックエンドでSSLの使用を強制し、サイト全体でHTTPSを有効にします：
define('FORCE_SSL_ADMIN', true);また、WordPressのアドレス（URL）とサイトのアドレス（URL）の両方が以下の形式であることを確認してください：https://「開始」。
定期的な自動バックアップ戦略を確立する
“「万が一に備えることが大切だ」ということです。どんなに防御策を講じても、バックアップは最後の頼りとなります。ウェブサイトのファイルやデータベースを定期的に完全にバックアップする必要があります。バックアップデータは、クラウドストレージサービス（Dropbox、Google Drive）などのリモートリポジトリに保存するか、FTP/SFTPを使用して別のサーバーに転送するべきです。このようなプラグインを活用すると、バックアップ作業がより簡単になります。UpdraftPlusまたはBackupBuddy自動化された定期的なバックアップを簡単に実現することができます。
概要
WordPressサイトのセキュリティを保護することは、一度きりの作業ではなく、多層的で継続的なプロセスです。ログイン認証や権限管理の強化といった基本的な対策から始め、すべてのコンポーネントをタイムリーに更新し、サーバーのセキュリティを設定し、積極的な防御機能を備えたファイアウォールを導入し、最後にデータベースや伝送層のセキュリティを確保するまで、これらすべてのステップが全体のセキュリティ防衛線を構築するための重要な要素です。定期的で信頼性の高いバックアップ戦略を組み合わせることで、セキュリティリスクを最小限に抑え、サイトデータの完全性とサービスの可用性を保証することができます。これにより、絶えず進化するネットワーク脅威に直面しても落ち着いて対処することができるのです。
FAQ よくある質問
### で最も緊急に行うべきセキュリティ設定は何でしょうか？
もし一度に一つだけことを行うことができるとしたら、すぐにすべての管理者および編集者のアカウントに二段階認証（2FA）を有効にし、すべてのテーマ、プラグイン、そしてWordPressのコア部分を最新バージョンにアップデートしてください。これら2つの対策により、一般的な攻撃のほとんどを即座に、かつ効果的に防ぐことができます。
なぜプラグインを使用していなくても、その更新を続ける必要があるのでしょうか？
アクティベートされていない、あるいは削除されたプラグインであっても、そのファイルがサーバー上に残っている可能性があります。攻撃者は、これらのファイルに存在する既知の脆弱性を利用して、そのパスに直接アクセスすることで攻撃を実行することができます。したがって、FTPやホスト管理パネルを通じて不要なプラグインファイルを完全に削除することが非常に重要です。
私のウェブサイトがハッキングされたかどうかをどうやって判断するの？
一些常见的迹象包括：网站加载速度异常变慢、出现未添加的陌生链接或弹出广告、搜索引擎将您的网站标记为“不安全”或“含有恶意软件”、管理员账户突然无法登录、发现不认识的新用户或文件。一旦发现这些迹象，应立即启动安全检查和清理流程。
私のウェブサイトのトラフィックは非常に少ないのですが、ハッカーの標的になる可能性はありますか？
はい。多くのネットワーク攻撃は、自動化されたロボットプログラムによる無差別なスキャンであり、これらのプログラムは既知の脆弱性を持つウェブサイトを探しています。特定の大規模な標的ではなく、どのような規模のウェブサイトでも、インターネット上で公開されている限り、基本的なセキュリティ対策を講じる必要があります。小規模なウェブサイトは、セキュリティ対策が不十分なために、攻撃者にとっての踏み台や「肉豚（つまり、攻撃に利用されるコンピュータ）」になりがちです。
次はどうする？
拡大読書と実践的知識
以下は、この記事のトピックに関連しており、さらに深く読むのに適している。あなたの現在の問題に最も近い記事から優先順位をつけ、徐々に周辺のトピックに広げていく方が良い場合が多い。
日本語