はじめに
WordPressサイトの管理画面への不正アクセスは、サイト運営者にとって深刻な問題です。標準設定ではログインURLがwp-adminであり、これは攻撃者が容易に特定できるためセキュリティ上のリスクがあります。この記事では、そのようなリスクを軽減するためにWordPressのログインURLを変更する方法と注意点について説明します。
症状・背景
- 外部からの不正アクセス
- サイトの信頼性低下
- 管理者パスワードの盗難や漏洩
- サイト運営者の不安感
手順・設定方法
ステップ1: ログインページのカスタマイズプラグインのインストール
# WordPress管理画面にログインします。
wp login adminuser password
# cPanelやPleskなどのホスティングコントロールパネルを使用している場合は、そのインターフェースからWordPressサイトを確認し、必要に応じてプラグインのインストールを行います。
# WordPressプラグインディレクトリから「Login LockDown」プラグインをインストールします。
wp plugin install login-lockdown
# プラグインを有効化します。
wp plugin activate login-lockdownステップ2: ログインページのカスタマイズオプション設定
# 「Login LockDown」プラグインの設定画面を開きます。
wp option set blog_public 0
# ログインURLを「my-custom-login」と変更します。
wp rewrite structure '/%year%/%monthnum%/%postname%/'
# wp-adminディレクトリ内のindex.phpファイルに、以下のようにカスタムログインページへのパスを設定します。
sed -i 's/^.*login_url.*/define( "CUSTOM_LOGIN_URL", "my-custom-login" );/' /path/to/wordpress/wp-content/themes/twentytwentyone/functions.phpステップ3: .htaccessファイルのカスタマイズ
# ログインURLを変更するため、.htaccessファイルにリダイレクトルールを追加します。
echo "RewriteRule ^my-custom-login$ /wp-login.php [R=301,L]" >> /path/to/wordpress/.htaccess
# 既存のwp-adminディレクトリへのアクセスを禁止する規則も追加します。
echo "<Files wp-admin>
Order Deny,Allow
Deny from all
</Files>" >> /path/to/wordpress/.htaccessステップ4: セキュリティチェックと監視の設定
# ログインURLを変更した後も、定期的にセキュリティチェックを行うことをお勧めします。
wp core update --minor
wp plugin update login-lockdown
# 不審なアクセスや攻撃を検出するためのログファイルの監視も重要です。
tail -f /path/to/wordpress/wp-content/debug.log注意事項
- プラグインとテーマの更新: プラグインやテーマは定期的に更新して、セキュリティ上の脆弱性を防ぎましょう。
- 管理者パスワードの変更: ログインURLを変更したら、必ず管理者パスワードも強固なものを設定しましょう。
- セキュリティプラグインの導入: 「Login LockDown」以外にも、「Wordfence Security」といった他のセキュリティプラグインを追加することも検討してください。
- パフォーマンスへの影響: ログインURLの変更は通常、サイトのパフォーマンスに大きな影響を与えませんが、特定の設定やカスタマイズによっては遅延が発生する可能性があります。
まとめ
1. プラグインの活用: 「Login LockDown」などのセキュリティプラグインを適切に設置して利用します。
2. ログインURLの変更: 標準のwp-adminからカスタムURLへと変更することで、攻撃者の特定が難しくなります。
3. ファイルの編集: .htaccessやテーマ内の関連ファイルを適切に編集してアクセス制御を行います。
4. 定期的なメンテナンス: プラグインやテーマの更新だけでなく、セキュリティチェックも定期的に行うことが重要です。
関連記事: