WordPressでサイトを公開すると、かなり頻繁に攻撃を受けることになります。
通常のアクセス解析では検知できないようなサーバへの攻撃や、WordPressの脆弱性やセキュリティーホールを突いた攻撃は日常的に起こります。
通常であればサイトをセキュア（安全）に保つためには固定費を払ってWEBやサーバの特殊な知識を持つ人にお願いする必要があります。
なぜなら攻撃されたことも分からないですし、万一
- サイトの改ざん
- サイトの乗っ取り
- スパムメールの大量送信
などが行われていても気付くことはありませんし、対策方法も分からないからです。
WordPressは優秀すぎるプログラムで、私達がHTMLやCSSを覚える必要無くネット上に情報を公開する事ができるようになりました。
そのぶん、悪意を持って攻撃してくる悪者に対してのリスクを負うことになります。
私達の選択肢は3つ。
- お金を払って専門の人に管理してもらう
- セキュリティー対策済みのWP専用高額サーバを使う
- プラグインを使って安価に対策を行う
長期的に集客サイトを構築していくためには、ほったらかしにはできません。
対策は必ず必要です。
ここではプラグインを使ってできる限りの対策を行う方法について解説します。
低コストでセキュリティーを保つ方法
WordPressは世界中のウェブサイトの25%で使われているモンスタープログラム。
使いやすく分かりやすい、誰でもHTMLやCSSの知識無しでWEBに情報を公開できます。
多くの人が使っているので、狙われやすくなるのは避けられません。
多くの人に広く使われるwindowsは常にウイルスの対象になりますのでセキュリティーへの対策が必要です。
WordPressも同様、多くの人に使われるプログラムですのでハッカーやクラッカーの標的にされやすくなってしまうのは仕方がありません。
それ以上に利便性や簡便さの利点を受け取れると言ってもやはりセキュリティーは難しくて面倒な作業。
できる限り手間をかけずにWordPressをセキュア（安全）に保ちたいと思いますよね。
それがWordPressプラグインを使ったセキュリティー対策です。
プラグインを使うことで
- サーバやWEBの高度な専門スキル
- 定期的に必要となるメンテナンス作業
- 高額なセキュリティー管理、対策費用
などを避けることができます。
WordPressのセキュリティーを防ぐプラグインはいくつか出ていますが、難しすぎてどれを選べば良いのかが分からいと思います。
ですので、できる限りカンタンで、かつ必要な機能を備えているプラグインを紹介します。
WordPressのセキュリティープラグインに必須な機能
セキュリティープラグインを使うイチバンの目的は主に３つ。
- サイトの改ざんを防ぐ
- スパムメールの大量配信を防ぐ
- サイトの乗っ取りを防ぐ
WordPressサイトがハッキングされる97%以上は上の3つのいずれか。
つまり、上記を防ぐことができればセキュリティーの問題はほとんど解決できるというわけです。
これら３つのセキュリティー問題が起きる原因やしくみを理解しようとすると大変なので、
どのプラグインを使えばこれらのトラブルを防げるのか
という視点で考えるのがカンタンで最も効率的です。
WordPressで最も使える３大セキュリティープラグイン
トラブルを防ぐためにWordPressのセキュリティープラグインに必要な機能は以下になります。
- WPコアファイルの追加/変更アラート
- ブルートフォースプロテクション
- ファイル変更チェック
- マルウェアチェック
- マルウェア除去
カンタンに説明をすると、
WPコアファイルの追加/変更アラート
WordPressのシステムファイルの変更や追加を検知し、通知します。
ハッキングの多くがシステムファイルを書き換える事によってバックドアを仕掛けたり不正なプログラムを実行します。
WordPressのシステムファイルへの変更や追加を監視することで通常では知り得ないこれらの活動を検知します。
ブルートフォースプロテクション
WordPressのハッキングでも特に多いのが、ユーザー名に対してアルファベットと数字の組み合わせを総当たりでパスワードを試していく方法。
放っておくとそのうちパスワードが破られてしまうのですが、一定回数のログイン失敗を検知してアクセスをブロックすることで防ぐ事ができます。
ファイル変更チェック
WordPressのシステムファイルだけでなく、プラグインやテーマにもバックドアや不正なプログラムをセットアップされることも多いです。
ですので、システムファイル以外にも特定のファイルやフォルダへの変更を監視することでセキュリティーリスクを避けられます。
マルウェアチェック
WordPressがセットアップされているサーバ内のファイルをフルスキャン（全てのファイルをチェック）することで、不正なプログラムやコードを検知します。
一定期間ごとにチェックを行い、問題がある場合には通知をするしくみを持っているセキュリティープラグインであればほぼ自動的にサイトを守る事ができるようになります。
マルウェア除去
万一、マルウェアへの感染が発覚してもどうしようもないという方もいると思います。
対策としては大きく２つあります。
- 最新のバックアップをリストア（復元）する
- 該当ファイルから不正なコードを取り除く
のいずれかなのですが、セキュリティープラグインの中にはマルウェア除去ができるプラグインもあります。
特に高いセキュリティーが必要だったり、初心者にはこういった機能は後々の事を考えると安心です。
おすすめWordPressセキュリティープラグイン
セキュリティー対策プラグインはたくさんありますが、国内、海外を含めて評判の高いプラグインを紹介します。
- All In One WP Security & Firewall(AIOWPS)
→ 公式サイト
セキュリティーに必要な機能はほぼ備えており、ワンタッチで様々なセキュリティーを高められるプラグイン。
ホスティング会社のさくらインターネットでも推奨されています。
- iThemes Security
→ 公式サイト
All In One WP Security と同様な機能を備えていますが、インターフェースが初心者向きで分かりやすいのが特徴。
また、同社のBackupBuddyとの連携も可能。
感染、トラブル>バックアップからの復旧がbackWPupなどの単体プラグインに比べて分かりやすく、カンタンです。
- Sucuri security
→ 公式サイト
高機能なセキュリティー対策プラグインで、マルウェア除去までできるのは今のところSucuriのみ。
業界でもWordPress専用ホスティング会社が採用しているなど、信頼性はかなり高いです。
無料のWordPressセキュリティープラグイン
ここで紹介した3つのプラグインは全て無料で使えます。
iThemesとSucuriの２つは有料版があります。
有料版は無料版に比べて多くの機能があり、細かい設定ができます。
なのですが、設定自体が難しく、ある程度セキュリティーに関する知識が無いと難しく感じると思います。
ですので、オススメは
の組み合わせ。
CodeGuardはバックアップに特化したサービスで、
- FTP（SFTP）（サーバの接続情報）
- MySQL（データベース情報）
だけでほぼリアルタイムでバックアップを取ることができて、いつでも好きな時のバックアップをリストア（復元）することができます。
無料のバックアップサービスとのイチバンの違いはデータのリストア（復元）が容易なこと。
ほとんどのバックアッププラグインは、
- ファイルデータ
- データベース
のバックアップを取ることはカンタンにできるのですが、リストア（復元）作業はFTPやphpMyAdminを使って行う必要があるため、初心者向きではありません。
CodeGuardはバックアップもリストアもカンタンにできるので、かなりオススメです。
Sucuriでマルウェアチェックを定期的に行い、万一何かがあったときにはCodeGuardで復元するというフローは初心者が費用をあまりかけずにセキュリティー対策ができるオススメの方法です。
セキュリティー対策は必須で、今後はさらに必要性が高まる
パソコンにウィルス対策ソフトを入れるのと同様で、WordPressのセキュリティー対策は必ずやっておくことをおすすめします。
WordPressサイトが突然使えなくなったり、サーバ会社から突然連絡がきてパニックになっている人をたくさん見てきましたが、対策をしていないままハッキングに遭ってからではほとんどの場合が手遅れになります。
長期的にコンテンツサイトを作っていくなら、ある日突然何ヶ月、何年も費やしたコンテンツが「無」になってしまう事もあります。
まずはいずれかのセキュリティー対策プラグインを導入することをオススメします。
