CloudSecure WP Securityを設定した手順｜ログインURL変更後の注意点も解説

WordPressサイトを開設した後、早めに考えたいのが管理画面のセキュリティです。WordPressは広く利用されているため、管理画面への不正なログイン試行や、初期設定のままのログインURLを狙ったアクセスに備える必要があります。

ERABIJIKUでは、セキュリティ対策としてCloudSecure WP Securityを導入し、自動更新、ログインURLの変更、二段階認証などを設定しました。

この記事では、実際に設定した項目と、特に注意が必要だったログインURLの管理について説明します。

CloudSecure WP Securityを導入した理由

WordPressには標準のログイン機能がありますが、サイトを公開すると第三者からもログインページへアクセスできる可能性があります。パスワードを複雑にするだけでなく、複数の対策を組み合わせたいと考え、セキュリティ用プラグインを導入しました。

初心者にとって重要なのは、設定項目が理解できることと、導入後も自分で管理できることです。高機能でも設定内容が分からないまま有効化すると、正規のアクセスまで止めたり、自分がログインできなくなったりすることがあります。

セキュリティ設定は、強くすれば強くするほどよいとは限りません。自分の利用環境で問題なくログインできることを確認しながら、一つずつ有効にする方が安全です。

WordPressの一般的なログインURLは広く知られています。ログインURLを独自の文字列へ変更することで、機械的に標準URLへアクセスしてくる試行を減らす効果が期待できます。

ERABIJIKUでもログインURLを変更しました。変更後、以前の標準URLから直接ログインできない状態になるため、新しいURLをブックマークし、パスワード管理アプリにも保存しました。

ログインURLの変更は、パスワードや二段階認証の代わりではありません。URLが分からなくても、他の経路から攻撃を受ける可能性はあるため、複数の対策を組み合わせます。

二段階認証は、パスワードに加えて別の確認手段を使う仕組みです。仮にパスワードが漏れた場合でも、それだけでログインされにくくなります。

設定時には、認証に使う端末を紛失した場合の復旧方法も確認します。バックアップコードが発行される場合は、スマートフォンだけに保存せず、安全な別の場所にも保管します。

セキュリティプラグインは、脆弱性対応や不具合修正のため更新されます。ERABIJIKUではCloudSecure WP Securityの自動更新を有効にしました。

ただし、自動更新を有効にしたら確認が不要になるわけではありません。WordPressから届く更新通知や、管理画面のサイトヘルスを定期的に確認し、更新後に表示やログインへ問題がないかを見ます。

初心者が一度に多くの制限を有効化すると、どの設定が原因で不具合が起きたのか分からなくなります。次の順番で進めると原因を切り分けやすくなります。

WordPressの安全性は、一つのプラグインだけで決まりません。WordPress本体、テーマ、プラグインを更新すること、不要なプラグインを削除すること、管理者アカウントを適切に管理すること、バックアップを取ることも重要です。

また、管理画面のスクリーンショットをブログやSNSへ掲載するときは、ユーザー名、メールアドレス、ログインURL、各種IDが写っていないか確認します。

ERABIJIKUでは、CloudSecure WP Securityを使い、ログインURL変更、二段階認証、自動更新などを設定しました。中でも重要だったのは、変更後のログインURLと復旧方法を安全に保管することです。

セキュリティ設定は、一度にすべてを有効化するのではなく、変更するたびに正常にログインできることを確認しながら進めましょう。