WordPressのセキュリティ

これだけはやっておいたほうが良いそうです。

①ユーザIDとニックネームを変える。

　デフォルトは同じになっていますが、ニックネームは編集者としてページに表示されるので、もし同じだと、ダッシュボードログインページにて、パスワードを試行される恐れがあります。

　次のダッシュボードログインページのアクセス制限と併せて実施すれば、より安全になります。

②ダッシュボードログインページwp-login.phpのアクセスを制限する。

wordpress ディレクトリ直下に.htaccesファイルがあります。

隠しファイルのなので、ls -lだと表示されません。ls -laで表示させましょう。

.htaccessファイルに以下を追記します。

Order deny,allow

Deny from all

Allow from 192.168.xxx.0/24 <<ここは環境による

</Files>

やりたいのは、wp-login.phpのアクセスはローカルの環境からのみアクセス可とする、ということです。

③xmlrpc.phpのアクセスを制限する。

xmlrpc.phpはリモート環境から記事や画像を投稿するための機能です。

xmlrpc.phpには脆弱性があり、攻撃の対象となっています。

デフォルトで有効となっており、設定からは無効に変更できません。

従って、先程のwp-login.phpと同様にアクセスを制限するか、利用しないのであれば完全に無効化します。（.htaccessファイルに追記）

以下は完全に無効にする設定です。

Order deny,allow

Deny from all

</Files>