SiteGuard WP Pluginの設定方法と使い方！無料で使える画像認証でWordPressのセキュリティをアップしよう

WordPressでブログを運用していて、
気を付けなければいけないのがセキュリティ。

WordPressはプラグインによるカスタマイズの自由度や、
無料ということもあり、世界的に利用数が増えてきています。

そうすると、悲しいかな。
そこに目を付けた悪い人も増えてきます。

ブログの収益が少ない時ならまだいいですが、
（それでもいやですが・・・。）

月５０万、１００万円と稼げるようになってから、
ブログがハックされてコンテンツをまるごと持ってかれた。

なんてことになったら、泣くに泣けません。


ただ、WordPressのセキュリティを上げるといっても、
そんなに詳しい知識がない場合はなかなかむずかしかったり。

そんな場合におすすめなWordPressのセキュリティを上げるプラグインが、

SiteGuard WP Plugin

です。

今回は、使っているWordPressブログのセキュリティをアップするプラグイン、
SiteGuard WP Pluginの使い方や設定方法についてまとめました。

SiteGuard WP Pluginをざっくり紹介

まずSiteGuard WP Pluginとはどんなプラグインなのかについて、簡単に紹介していきましょう。

セキュリティで何が怖いかといったらハッキングです。

つまり、WordPressのIDとPasswordを盗まれて、自由に管理者用の管理画面を知らない誰かに自由に使われてしまうことですね。

WordPressの管理画面に自由に入れてしまうと、文章や画像のコンテンツはもとより、使っている広告のパラメータからアドセンスやASPのアカウント情報や、ひいては銀行口座の情報などまで危険にさらされます。

ではどうやって、パスワードをかけている管理画面を突破するのかというと、多いのがブルートフォースアタックですね。

簡単なパスワードだと看破されやすいので複雑なものにしておくことはもちろんですが、大規模でこれをやられると複雑なパスワードにしていてもパスワードを看破されてしまう場合があります。

そこで登場するのがSiteGuard WP Plugin。

このプラグインの主な機能として、

など、不正ログインをしようとしたユーザーに対して、さまざまなトラップを仕掛けてくれます。

本格的にWordPressのセキュリティを上げようとするとさまざまな知識やテクニックが必要ですが、このプラグインを入れるだけで何もしていないよりはるかにセキュリティレベルを上げることが可能です。

「もう本当にパソコンのパの字しか知らないです！」

という場合や、インターネットやウェブにまったく詳しくない人でも、このプラグインを入れてデフォルトの状態で使っているだけでも、かなり安全性は高まります。

それではさっそくこのプラグインの使い方についてみていきましょう。

さっそくインストールしよう

まずはこのプラグインをインストールしましょう。


これで「SiteGuard WP Plugin」のインストールが完了しました。

SiteGuard WP Pluginの設定

プラグインをインストールして、デフォルトのまま使用してもWordPressのセキュリティは上がっていますし問題はないですが、できれば何ができるのか、このプラグインがどんなことをしているのかは知っておいたほうが良いです。

ここでは、このプラグインで設定できる内容についてみていきましょう。

プラグインをインストールすると、WordPress管理画面の左のメニューに「SiteGuard」が使いされているので、こちらのメニューから「ダッシュボード」を選択しましょう。

ダッシュボード

SiteGuardのダッシュボードを開くと、このプラグインで使える機能の一覧と、現在の設定がチェックされているか否かで確認できるようになっています。


それでは、それぞれの機能と使い方についてみていきましょう。

管理ページアクセス制限

この機能では、WordPressのログインページ以降からアクセスを試みられた場合に、404エラーを返してくれる機能です。

WordPressにログインした後にURLを見てみるとわからいますが、管理画面のどのメニューを使ってるかでwp-admin以下のアドレスが変わっています。
例えば、記事投稿ページを使っているときは、

画像をアップロードしようとしているときは、

といった具合ですね。

実は、これらの下層ページからでもURLを直接打ち込めば、IDとPassを聞かれて直接ログインできるようになっています。

悪意ある第三者から狙われた場合に、adminページにセキュリティをかけても、このような下層ページから入り込まれてしまう場合があります。

そんな場合に、この機能をONにしておけば、ログインが行われていない接続元IPアドレスに対して、404エラー(Not Found)で返してくれます。

デフォルトではOFFになっていますが、ONにしておくことをおすすめします。

ログインページ変更

通常、WordPressのログイン画面のURLは、

となっています。

このプラグインを使うとこのページが、

と、数字が５個追加されます。

多くのハッカーはwp-login.phpのアドレスを狙ってきますので、ここのログインページの名前が複雑になるだけでも、多くの攻撃をかわすことができます。
ちなみに、ここの数字はこの設定画面で変更することもできます。

一点、今後はログインページが変更になるので、

「あれっ？いつものブログにログインできない」

となりがち。

今後はログインページが変更となるので、メモっておくか、変更後のログインページをブックマークなどに追加しておくようにしましょう。

画像認証

このプラグインの嬉しい機能の一つが画像認証。

日本語に対応しているので、ログインするたびに日本語４桁を入力する必要はあるが、機械的なアタックをこれでほぼ排除できる。

また、ログインのセキュリティだけでなく、コメントでも画像認証を使えるのでコメントに付く意味のない海外からのスパムなどもこれでほとんどカットできるのはうれしいところ。

ログイン詳細エラーメッセージの無効化

通常の場合はログインが間違っていたときに、

など、どこか違っていたのかを親切に教えてくれます。

ハックしようとする側からすると、

「なるほど、ユーザー名はあってるけどパスワードの方が違うのか」

という、何が違うのかを教えるヒントになってしまいます。

そこで、このログインエラーのメッセージを、

「違います」

で統一することで、ログイン名とパスワードが完全一致してないとダメになるので、よりセキュリティは強固になります。

ログインロック

何回かログインできない状態が続いた時に、指定した時間のあいだ、同一IPからのアクセスをロックする機能です。

先ほどちらっと紹介したブルートフォースアタックのような機械的なアタックに対して有効です。

ただし、自分でもうっかり連続で間違えてしまった場合はロック対象になります。

この３つを設定できるので、

「よくログインIDとPASSを入れ間違えてしまう」

という場合は、ロック対象となる回数を３回から１０回などに変更しておくようにしましょう。

ログインアラート

WordPressの管理画面にログインがあった場合にメールでお知らせしてくれる機能です。

自分でログインした覚えがないのに、メールが届いたら第三者に管理画面に入られた可能性が高くなるので、そんな場合に異変に気付くことができるようになります。

ちなみに、自分がログインした場合でももちろんメールが届くので、私のフォルダには、

「（サイト名）にログインがありました」

メールがたくさん来ています。

フェールワンス

正しいIDとPassを入力しても1回目はかならず失敗するという機能です。

機械的なアタックであれ、
故意的なハックであれ、

合ってるのに一度はスルーしてしまうので、セキュリティとしてはかなり強固になります。

ただ、私の場合は、この設定のせいだとわかっていても、

「あれっ？違ったっけ？」

と、毎回なってしまうのがストレスなので、こちらはOFFにしています。

ちなみにデフォルトではOFFの設定になっています。
この機能を使う場合はONに設定を変更しましょう。

XMLRPC防御

こちらでは、

この２つが選択できるようになっています。

「What’s!?」

という人もいるかと思いますので、簡単に説明しますと、

ですね。

ピンバックしかり、XMLでのやり取りしかり、この方法でやり取りする機能を狙って悪いことをしようとする人がいるのでそのそも無効化してしまおうというセキュリティ手段です。

まぁ、ONにしてもそんなに影響はないと思いますが、せっかくピンバックをもらえたのに無効になる場合は、XMLを使って何かするプラグインを使用している（もしくは将来的に使用する）場合に何かしらのエラーがでたらヤダなと思うので、私はこれは無効にしています。

更新通知

「セキュリティの基本は最新のバージョンに常にすること！」

という観点から、

この最新版が出た時に、

「新しいバージョンがリリースされたよー。更新しようぜ！」

と、お知らせを送ってくれる親切機能です。

ちゃんと更新するかは置いといて、お知らせしてくれるのはありがたいですね。

WAFチューニングサポート

これは、借りてるレンタルサーバーなどでWAF ( SiteGuard Lite ) が導入されている場合に、WordPress内での誤検知を防ぐためのルールを作成する機能。

WAFが導入されてる場合はONにして、導入してない場合はOFFでOKです。

WAFが導入されていると、セキュリティは高まるものの、WordPressやプラグインのご認知でその機能をブロックしてしまう場合はあるので、そんな場合のためにこのON、OFF機能が設置されています。

まとめ

今回は、あまりウェブやインターネットの知識がない人でも、WordPressのセキュリティを大幅に向上できるプラグイン「SiteGuard WP Plugin」を紹介しました。

セキュリティアップのプラグインはいろいろありますが、これだけまとめていろいろとやってくれるプラグインは、なかなか無いのではないかな、と思います。

しかも無料ですし。

特に、画像認証の機能は嬉しいですね。

このプラグインを入れてない、昔立ち上げてそのままになっているWordPressに久々にログインしてみると、海外からのスパムコメントが大量についていたりします。

管理云々の前に、最初からはじいてくれればこちらもストレスフリーですし、セキュリティ上も安心です。

このプラグインを提供している会社自体が、JP-Secureという日本のまともな会社ですし、かつセキュリティに特化した会社なので、そうそういい加減なことをしたり、プラグインの更新やアップデートがとまることもないのではないかな、と思います。

WordPressに対するセキュリティの必要性は日を追うごとに増してますし、こちらとしてもブログや収益が大きくなればなるほど、失った時のリスクは甚大になります。


何かあってからでは遅いのがセキュリティ。
早いうちからWordPRessのセキュリティも意識して、安全な運営をこころがけましょう。

今回は以上です。
最後までお読みいただきましてありがとうございました。