【実録／2つのプラグイン】「XO Security」「BBQ Firewall」でWordPressを守るセキュリティ設定

前回記事(初期プラグイン設定2回目)では「Site Kit by Google」を使用し、Google Serch CosoleとGoogle Analyticsを導入しました。

今回は次のステップ、XO Security と BBQ Firewall を設定していきます。

導入マップ
今回の位置づけはこちら

今回は次の２つ

ブログを始めたばかりの人ほど、セキュリティ対策は軽視しがち。
でも、WordPressは世界中で使われているから攻撃対象にもなりやすい…

だからこそ、初期段階で必要なセキュリティプラグインを入れておくと安心です 

では、順番にご紹介していきます。

XO Security の導入

XO Securityの特徴（できること）

まず、XO Security の大枠を押さえましょう。
こんなイメージを持っておけばOKです。

XO Security の概要

プラグイン追加（XO Security）

では、実際に導入していきます。

プラグイン→プラグインを追加

「XO Security」と入力し検索。→今すぐインストール

有効化

「設定」をクリック。

ここでは設定する項目はありません。
(はじめはステータスタブが選択されており、「ログインログ記録」にだけチェックが付いているはず)
(他のタブで各種設定を済ませるとその内容が反映される仕組み)

「ログイン」タブの設定【最重要】

オススメ設定

• 試行回数制限重要：「12時間」の間に4回までリトライを許可
  • ログインの試行回数を制限
    （当然、自分も対象。誤入力の際の利便性も考慮し「12時間・4回」程度で。セキュリティを高めたいなら、更に厳しめでもOK）
  • ブルートフォース(総当たり)攻撃の対策として有効
• ブロック時の応答遅延：120秒
  • ログインに制限がかかった際、その旨を表示するまでの時間
  • 遅い方が効果が高いので最大値で
• 失敗時の応答遅延：10秒
  • ログインに失敗した際、その旨を表示するまでの時間
  • 遅い方が効果が高いので最大値で
• ログインページの変更重要：ONにする
  • ログインファイル：任意の文字列を入力

   

• ログインIDの権限：ユーザー名のみ
  • WordPressのデフォルトでは、ログインIDとして「ユーザ名」と「メールアドレス」の2種類が使えます。
    この設定で「両方使えるようにするのか」、「どちらかしか使えないようにするのか」を選びます。
  • 悪意のある者がメールアドレスを収集して、不正ログインを試みる可能性があるため「ユーザー名のみ」がオススメ。
• ログイン言語制限：無効
  • 変更するにはPHPの編集が必要。無効のままでOK
• ログインエラーメッセージ：簡略化
  • デフォルトのままだと、エラーメッセージの内容からユーザー名の「存在の有無」がわかってしまう。
    「簡略化」にすべき
• CAPTCHA：ひらがな
  •  海外ロボットが対応しづらい「ひらがな」を選択

• パスワードリセットリンク：有効
  • 「パスワードをお忘れですか？」のリンクを表示するもの
  • 念のため「有効」が安心
• サイトへ移動リンク：有効
  • 「（サイト名）へ移動」のリンクを表示するかどうかの設定
  • 正直、どっちでもOK
• ログインアラート：ON
  • ログインしたときのメール通知を設定
  • 不審なログインに気づくためにON推奨
    ※ただし、ログインごとにメールが届く。どうしても嫌な場合はOFFに

設定したら、「変更を保存」

「コメント」タブの設定

コメント欄を閉じている場合は、関係ないので設定不要 
（私はコメント欄は閉鎖済）

コメント欄を開けている場合は、とりあえず次の設定でOK

おすすめ設定

「XML-RPC」タブの設定

XML-RPCは、WordPressを外部から操作するための仕組み（通信方式）の一種。
かつてはスマホアプリや外部ツールから記事投稿するときに使われていたが、今はほとんど使われていない。
（代わりに、REST APIが主流）

不正ログインやブルートフォース(総当たり)攻撃に悪用されやすいので無効化します。
（今は 通常のブログ運営では「XML-RPC」は使わないので無効化でOK ）

オススメ設定

• XML-RPC の無効化：ON
• XML-RPC ピンバックの無効化：ON

「変更を保存」

「REST API」タブの設定

REST APIは、（先ほど出てきた）XML-RPCと同様、WordPressを外部から操作するための仕組み（通信方式）の一種。今の主流です！

サイトの表示や編集機能を支える今どきの標準的な仕組み。
→うかつに無効化してしまうと、ブログ運営に支障が出ます。
（「ブロックエディタの動作」のほか、「プラグインやテーマの内部」などで使用）

そのため、ユーザー名に関わる項目のみ無効化するのが、オススメ

オススメ設定

• REST API の無効化：ON
  • /wp/v2/users：チェックをつける
  • /wp/v2/users/(?P[\d]+)：チェックをつける

「変更を保存」

「秘匿」タブの設定

オススメ設定

• 投稿者アーカイブの無効化：ON
  • 投稿者アーカイブ（投稿者ごとの記事一覧ページ）を無効化する設定
  • 複数ユーザーでの運営でない場合や、使用しない場合は、「ON」がおすすめ
  • ONにすれば「404エラーページ」を表示するため、ユーザー名の漏洩防止に
• コメント投稿者クラスの削除：ON
  • コメント欄のHTMLからユーザー名を削除する設定
  • WordPressではコメントが表示されるときに、投稿者のユーザー名がHTMLに自動で含まれる場合があるため、ON推奨
• oEmbed ユーザー名の削除：ON
  • oEmbedとは 記事や動画などのURLを貼り付けるだけで、タイトル・アイキャッチ画像・概要文などを自動的にカード形式で表示する設定
  • WordPressではoEmbed埋め込み機能があり、そのページ概要にユーザ名が含まれる場合があるため、ON推奨
• RSS/Atom フィードの無効化：OFF
  • RSS/Atomフィードを無効化すると、ブログの更新情報を配信する仕組みそのものが止まってしまう
    （読者がRSSリーダーで記事をチェックしている場合や、外部サービスと連携している場合は情報が届かなくなってしまう）
  • そのため、基本的には 無効化せず、そのまま有効にしておくのがオススメ
• バージョン情報の削除：ON
  • 利用しているWordPressのバージョン情報を削除する設定
  • 外部から特定できないようにすべきなのでON推奨
• readme.html の削除：ON
  • 古いバージョンのWordPressを使用している場合、readme.html内にWordPressのバージョン情報が表示されてしまうのでON推奨

「変更を保存」

「メンテナンス」タブの設定

OFFのままでOK

「環境」タブの設定

環境タブの項目はセキュリティに何ら影響しないのでデフォルトのままでOK

BBQ Firewall の導入

BBQ Firewallの特徴（できること）

BBQ Firewall の大枠を押さえましょう。
こんなイメージを持っておけばOKです。

BBQ Firewall の概要

プラグイン追加（BBQ Firewall）

では、実際に導入していきます。

プラグイン→プラグインを追加

「BBQ Firewall」と入力し検索。→今すぐインストール

有効化

「プラグインを有効化しました。」と表示されればOK

すぐに防御が開始されます。（設定不要 ）

---

これで今回の作業は全て完了。
お疲れ様でした！

最後に（次回予告）

今回は基本的なセキュリティプラグインを導入しました。

再掲
（今回：コチラが設定完了 ）

次回の記事では
「運営サポート」を設定

次回はContact Form by WPFormsとUpdraft Plusについて。
（画像たっぷりでお伝え予定。お問い合わせフォームとバックアップツール）

といったところで、今回はこのあたりで。
お疲れ様でした！