オールインワンワードプレスセキュリティプラグインは便利です（次の記事で説明します）が、セキュリティにはプラグインをインストールして歩くだけではありません。慎重な戦略と絶え間ない警戒が必要です。リアクティブではなく、積極的である。言い換えれば、あなたのサイトが安全であると仮定しないでください - あなたがハッキングされる前にセキュリティプランを仕上げます！言われていると、100％のセキュリティなどはありません。あなたが達成できるのは、リスク削減であり、セキュリティと利便性のバランス（あなたのために）を見つけることです。
セキュリティとは、完全に安全なシステムに関するものではありません。そのようなことは非現実的であるか、見つけることや維持することは不可能かもしれません。しかし、セキュリティはリスク削減であり、リスクの排除ではありません。それは、あなたがあなた自身の姿勢を改善して自分自身をターゲットにし、その後ハッキングされる可能性を高めることができるように、あなたが利用できるすべての適切なコントロールを採用することです。」 - codex.wordpress.org
どこに注意を向けるべきですか？昨年の記事で、WP White Securityは、ハッキングされたWebサイトに関する次の統計を報告しました。
そこに穴があります。セキュリティ戦略を作成している間、それを覚えておいてください。
わかりました。これらすべてを念頭に置いて、WordPressサイトを安全に保つことができる40の方法を以下に示します。あなたとあなたのサイトにとって理にかなっているものを選択してください。secure wordpress
WordPressを手動で更新したくない場合は、すべてのプランで利用可能な特別な自動更新ツールがあるパートナーSiteGroundのようなホスティングプロバイダーを検討してください。
2。あなたのサイトを定期的にバックアップします
#Enable all core updates, including minor and major: define ( 'WP_AUTO_UPDATE_CORE', true );
バックアップを忘れないようにスケジュールし、時々テストの復元を行います。
バックアップと移行のためのWordPressプラグイン
5
と比較された最高のWordPressバックアッププラグイン
WordPress Webサイトを手動でバックアップする方法を使用してワードプレスを保護します
4。 wp-config.phpをセキュアします
ロックダウンwp-config.php - データベース、ユーザー名、パスワードに関する豊富な重要なデータを含む1つの場所です。あなただけがアクセスする必要があります。
このファイルへのアクセスを拒否するには、.htaccessファイルの上部に以下のコードを追加する必要があります。#Enable all core updates, including minor and major: define ( 'WP_AUTO_UPDATE_CORE', true );
WP-Config.phpファイルをWordPressインストールの上のフォルダーに移動します。これにより、ブラウザを使用している人は誰でもアクセスできなくなります。つまり、クラッカーの位置を見つける可能性が低くなります。
さらなる読み取り：
テーマのfunctions.phpファイルに次の行を追加して、その情報を削除します：
また、readme.htmlファイルも削除する必要があります。これには、WordPressバージョン番号も含まれています。
<files wp-config.php>
order allow,deny
deny from all
</files>
誰かがあなたがそれを使用していることを知っている場合にのみWordPressをハッキングしようとします。だからそれを秘密にしてください！テーマファイルからWordPressへのすべての参照を削除します
8。 PHPエラーの報告を無効にします
ハッカーはエラーメッセージを使用して有利に使用できます。たとえば、テーマまたはプラグインからのエラーがサーバーパスを表示する場合があります。
remove_action('wp_head', 'wp_generator');
9。デフォルトのシークレットキーを変更
WordPressをインストールすると、4つのシークレットキーがWP-Config.phpファイルに書き込まれます。ユーザーのCookieに保存されている情報の暗号化を改善し、パスワードのクラックを難しくします。
WordPressのシークレットコードジェネレーターを使用して新しいキーを取得し、WP-Config.phpファイルにコピーします。<meta name="generator" content="WordPress" />
10。テーマとプラグインを最新の状態に保ちます
WordPressを更新するだけでなく、テーマやプラグインも最新の状態であることを確認してください。それぞれがあなたのサイトへの潜在的なバックドアであり、それぞれの新しいバージョンの脆弱性が少ない可能性があります。
11。積極的に維持され、定期的に更新されるテーマとプラグインを選択しますさらなる読み取り：
WordPressプラグインディレクトリへのアクセスを制限：www.your-domain.com/wp-content/plugins/。それ以外の場合、フォルダーを閲覧している人が使用しているプラグインを確認して、潜在的な脆弱性について探索してください。
blank index.htmlファイルをディレクトリにアップロードしてアクセスを拒否します。または、ルートフォルダーの.htaccessファイルの開始時に次の行を追加します。14。プラグインとテーマエディターを削除します
#Enable all core updates, including minor and major: define ( 'WP_AUTO_UPDATE_CORE', true );
ログインを確保してください
<files wp-config.php>
order allow,deny
deny from all
</files>
デフォルトの管理者ユーザー名、または「管理者」、サイトの名前、または独自の名前などの明白な名前を使用しないでください。推測が簡単すぎて、ハッキングされた管理者アカウントは著者アカウントよりも危険です。
WordPressを設定するときに適切な管理者ユーザー名を選択します。サイトが既に「管理者」を使用している場合は、新しい管理者ユーザーを作成し、古いユーザーを削除するか、ユーザー名チェンジャーのようなプラグインを使用します。文字、数字、文字で構成される複雑なパスワードを選択します。ここにいくつかのヒントがあります：
ユーザー名に似たパスワードを選択しないでください
いくつかの単純な変更を伴う一般的な単語であるパスワードを選択しないでください。
同じパスワードを使用する時間が長いほど、ハッカーにクラックする時間が長くなります。機会の窓を短くします！
さらなる読み取り：
Google Authenticatorを使用したWordPressの2段階の検証
WP LIMITログイン試行
ログインロックダウン
WordPressログイン画面にセキュリティの質問を追加すると、誰かが許可されていないアクセスを取得することが難しくなります。これは、WPセキュリティ質問プラグインをインストールすることで行うことができます。
ユーザーは、システムの中で最も弱いポイントです。その弱点は、管理者の特権を持っているときに最も危険です。
実際に管理アクセスが必要な人はほとんどいません。 WordPressは、次のような選択できるさまざまな代替役割を提供しています。著者：自分の投稿を公開して管理できる人
寄稿者：自分の投稿を書いて管理できますが、公開できない人。
強制SSLは比較的単純な変更であり、大きな違いを生むことができます。 Webサイト全体を暗号化しなくても、ユーザーに安全なログインページがあることを確認してください。これを確認するには、最新のSSL証明書が必要です
26。ログインページからエラーメッセージを削除します
ログインの試行が失敗するたびに、ログインページのエラーメッセージはハッカーの手がかりを与えることができます。テーマ機能に次のコード行を追加してそれらを削除します。#Enable all core updates, including minor and major: define ( 'WP_AUTO_UPDATE_CORE', true );
WordPress Admin URLがWP-Adminであることを知って、ハッカーは簡単にブルートフォースの攻撃を開始できます。ハッカーがそれを見つけることができないように、そのURLを変更することで攻撃を受けるリスクを軽減します。
WPS非表示ログインは、それを達成するための最も簡単なプラグインです。28。著者のユーザー名を非表示
それを行うには、以下をfunctions.phpファイルにコピーして貼り付けてください：
<files wp-config.php>
order allow,deny
deny from all
</files>
詳細については、
をご覧くださいWordPressのWebサイトに対するブルートフォース攻撃の防止
自宅のコンピューターからのみログインする場合は、そのコンピューターのみにログイン画面を制限します。 Home IPアドレス（WhatismyIp.comなどを使用）をつかみ、WordPress管理フォルダーの.htaccessファイルにこれらの行を追加します（xx.xxx.xxx.xxxをIPアドレスに置き換えます）：
複数のコンピューター（Office/Home/Laptopまたはuser1/user2/user3）へのアクセスを許可するには、新しい行にxx.xxx.xxx.xxxステートメントから別の許可を追加します。
remove_action('wp_head', 'wp_generator');
を無効にします
XML-RPCを使用すると、ユーザーはブログクライアントを介してWordPressにリモートで接続でき、トラックバックやピングバックに使用できます。 WordPress 3.5からデフォルトで有効になっていますxml-rpc pingback
を無効にします
xml-rpcを無効にします
WordPressをインストールすると、テーブルはデフォルトでWP_のようなテーブルプレフィックスを使用します。これを知っていると、自動化されたツールを備えたハッカーはデータベース構造を解決できます。接頭辞を変更して、SQLインジェクションクエリやその他の攻撃を実行することがより困難になるようにします。
SFTP（Secure FTP）接続を使用します。これにより、マシンとサーバー間の通信が保護されます。 Sitegroundのようなほとんどのホストは、SFTPを提供しています。
さらなる読み取り：
ファイルの権限を最小限に設定することにより、サイトのセキュリティを保護します：
Sucuriを含むサーバー側のスキャンソリューションがいくつかあります。 Sitegroundのようなホスティングプロバイダーの中には、箱から出してセットアップする人もいます。
安全なホスティングプロバイダーを選択ハッキングされたサイトの41％は、ホスティングプラットフォームのセキュリティの脆弱性が原因です。したがって、ホスティングプロバイダーを選択または変更するときは、特に注意してください。
38。余裕のある最高のホスティングプランを選択してくださいセキュリティを優先するホスティングプロバイダーを選択することが不可欠です。探すべき機能のいくつかは次のとおりです。
最新のPHPおよびMySQLバージョンのサポートアカウント分離
Webアプリケーションファイアウォール
39。ホスティングプロバイダーのセキュリティソリューションを活用してください
いくつかの企業は、WP Engine、Siteground、Media Templeなどの優れたセキュリティソリューションを備えた安全で管理されたWordPressホスティングを提供しています。彼らは、最大の効果のためにツールを構成する時間、努力、専門知識を費やします。 たとえば、
WPエンジンは、WordPressとキープラグインを自動的に更新し、パフォーマンスとセキュリティの問題を引き起こすことがわかっているプラグインを無効にします。ハードウェアベースのファイアウォールと構成を提供して、分散型サービス拒否（DDOS）攻撃がサイトを倒さないようにします。ワントリックウォンダーではなく、さまざまなセキュリティ機能をカバーする高評価のプラグインに焦点を当てています。ホスティングプロバイダーにまだ包括的なセキュリティソリューションがない場合、これらのいずれかをインストールすることは、セキュリティ戦略の素晴らしい第一歩です。
お気に入りのセキュリティプラグインを見逃しましたか？コメントでお知らせください。
41。 wordfenceWordfenceセキュリティは100％無料でオープンソースです。また、プレミアムサポート、カントリーブロック、スケジュールされたスキャン、パスワード監査、脅威防衛フィードのリアルタイムの更新、2要素認証を提供するプレミアムAPIキーも提供します。また、ウェブサイトのIPアドレスが慣れているかどうかを確認します。スパムバート化。Wordfenceにはこれらのセキュリティ機能が含まれています：
コスト：無料
アクティブなインストール：500,000評価：5つの星のうち4.7（3,812レビュー）
コスト：無料、基本199ドル/年、年間299ドル、年間$ 499/年
アクティブなインストール：300,000ハッキングされたWebサイトのクリーンと修理。 「プロのセキュリティインシデント対応チームは24時間年中無休で利用可能です。」 攻撃とハッキング防止。 「ハッキングや攻撃を停止するように設計されたクラウドベースのWAF/IPSソリューション。」
継続的な監視。 「セキュリティ関連の問題の継続的な監視と警告。」
jetpack（automattic、wordpressをもたらす人）は、単なるセキュリティ以上のものを行います。基本的に、WordPress.comの機能を残りの部分にもたらします。これは魅力的です。セキュリティとバックアップのために、有料プランにはVaultPressが含まれます
VaultPressは、Automatticによって設計および構築されたリアルタイムバックアップおよびセキュリティスキャンサービスです。バックアップ。 「オフサイトのデジタルボールトに保存されている包括的な毎日またはリアルタイムの自動バックアップは、WordPress用に最適化され、ホストよりも優れています。」VaultPressはJetPackを搭載しており、サイトのすべての投稿、コメント、メディアファイル、リビジョン、およびダッシュボード設定を簡単にバックアップします。 VaultPressを使用すると、ハッカー、マルウェア、偶発的な損傷、ホストの停止から保護されています。
VaultPressには、これらのセキュリティ機能が含まれています
復元。 「最もストレスの多い瞬間でさえ、私たちはあなたの背中を持っています。ホストを必要とせずに、オンラインでの存在全体をすばやく簡単に復元してください。」
アクティブなインストール：100,000
Proバージョンはこれらの機能を追加します：
47。 secupress マルウェアスキャンでWordPressを保護し、ボットと疑わしいIPSをブロックします。無料またはプロプラグインとして完全なWordPressセキュリティツールキットを入手してください。積極的な場合は、無料のWordPressセキュリティプラグインが最適です！毎週のスキャンをアクティブにする時間はありませんか？その後、Secupress Proは行く方法です。私たちのプラグインは、自動化されたタスクを使用してすべてを処理します
secupressにはこれらの機能が含まれています：
アンチブルートフォースログイン
コスト：シングルサイト$ 29（1年の更新/サポート）、マルチサイト$ 79（1年の更新/サポート）、永遠に無制限$ 199自動固定器。 「バックアップの作成、ファイルの編集、コードをいじり、手を汚すのが好きではない場合は、Security Ninja Proがあなたのためにすべてを行います。ワンクリックでセキュリティの問題を修正します。」
ホスティングプロバイダーは、WordPressセキュリティで重要な役割を果たしています。優れたホスティングプロバイダーは、通常のバックアップ、ファイアウォール、マルウェアスキャン、削除、SSL証明書、DDOS攻撃に対する保護などの機能を提供します。また、最新のセキュリティパッチでサーバーが常に更新されるようにします。
ファイアウォールとは何ですか？また、WordPressサイトをどのように保護しますか？所定のセキュリティルールに基づいて、着信および発信ネットワークトラフィックを制御します。信頼できるネットワークと信頼されていないネットワークの間の障壁として機能します。悪意のあるトラフィックをブロックし、サイトへの不正アクセスを防ぐことにより、WordPressサイトを保護できます。
以上が安全なWordPressサイトを作成する48の方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。
![[Web フロントエンド] Node.js クイック スタート](https://img.php.cn/upload/course/000/000/067/662b5d34ba7c0227.png)
