WordPressセキュリティ対策１

WordPressでは管理画面（ダッシュボード）にログイン（管理者権限）されてしまうと何でも操作されてしまいます。
最低限でもこのくらいの対策をしておきましょう。

１.ユーザー、パスワード

ログインに利用するユーザー、パスワードは簡単にログインできないモノ（要因に推測できるものは絶対に使わない）にしましょう。
ユーザー名にadmin、とか、password、1234、1qaz!QAZ・・・・などを利用するのは大変危険です。

PCなどのコマンドから自動生成するのも良いかもしれないです

Windowsでランダムパスワード（PowerShellから）

#powershell
Add-type -AssemblyName System.Web;[System.Web.Security.Membership]::GeneratePassword(10,3)

Windowsでpowershellを使用しランダムなパスワードを生成する

Macのopensslから作成

$ openssl rand -base64 12
6kRz+U9TCFXs5UsI

Linux　パッケージpwgenをインストールして

$ pwgen -s 16 1

kbtrIsNAONtQUtg9

２. author.php ログインユーザー名がバレるのを防ぐ

自分のウェブサイトやブログのトップページを表示させて、アドレスバーのURLの末尾に
/?author=1 と入れてアクセス見てください。

あなたのユーザー名、またはブログの管理ユーザーが見えますか？
これはWordPressの仕様で脆弱性とかバグとかではないんです。
が、ユーザー名が解ってしまうとあとはパスワードだけなのであっという間に乗っ取られます。
一番簡単な対策としてはauthor.phpテンプレートを使っていない場合はauthor.phpにトップページへのリダイレクトをかけるとひとまず良いでしょう。

#author.phpに以下だけ書いとく
<?php
    wp_redirect(home_url());
    exit();
?>

実はWordPress利用ブログのほとんどがユーザー名もろバレな件 – 対処法紹介します

３.管理画面（ダッシュボード）にアクセス制限をかける

WordPressのダッシュボードに入るには以下のアドレスにアクセスします。

https://hogehoge/wp/wp-login.php

このファイル自体にベーシック認証、またはIP制限をかければ良いわけです。
（※ディレクトリ「wp-admin」に制限をかけるような記述がありますが、ajaxを利用している場合通信ができなくなります。）

IPアドレスで許可する場合（apache）WordPressの.htaccessに以下のように書く（xmlrpc.phpも）

#.htaccess
<Files ~ (wp-login.php|xmlrpc.php)>
SetEnvIf X-Forwarded-For 123.456.789.10 nobasicip
SetEnvIf X-Forwarded-For 123.456.789.11 nobasicip

Order allow,deny
allow from 123.456.789.10
allow from 123.456.789.11
Satisfy Any
</Files>

ベーシック認証でアクセス制限 Apache（.htaccess）

#特定のファイルアクセスだけベーシック認証

<Files ~ (wp-login.php|wp-login-change.php|xmlrpc.php)>
    AuthUserFile /home/hogehoge/www/wp/.htpasswd
    AuthGroupFile /dev/null
    AuthName "Member Only"
    AuthType Basic
    require valid-user
</Files>