WordPress初心者が導入時にやっておきたい10のこと
こんにちは。
開発部エンジニア見習いの渡辺です。
今回はこれから、WordPressでブログ構築してみたいという方はサラッと目を通してみてください。
そんなん「アタリマエダYO！」ということや「普通やん！」という内容もあるかも知れませんが備忘録の一部として残します。
はじめに
WordPressとは世界中でたくさんのユーザーが利用しているオープンソースのブログソフトウェアです。
2014年8月現在バージョン3.9.1の配布を行っています。
GPLライセンスの元で無料で利用でき拡張性・カスタマイズ性ともに高く、さまざまなWebサイトで利用されています。
このブログもWordPressを利用しているので構築の際に行ったことを書きたいと思います。
1.最新のWordPressで構築する
最新バージョンに対応していないプラグインなどもありますが、リビルドでなくゼロから構築する場合は極力最新バージョンを利用する。
ここではWordPressバージョン3.9.1を前提として進めます。
2.DBのプレフィックスを変更する
手動でWordPressをインストールした場合、DB(データベース)内のテーブルへ任意のプレフィックス（接頭辞）を付けることが出来ます。
デフォルトでは全てのテーブルに対してwp_というプレフィックスが使用される。
デフォルトプレフィックスを変更しなければ、クラッカーのお手伝いをしているようなものです。
その為、任意に変更したカスタムプレフィックスを使用する。
www/wp-config.phpを開き、コードを下記の様に別のものに変更して下さい。
その際に、wp-config.phpのファイルバックアップを忘れずにしておきましょう。
|
1 |
$table_prefix = 'wp_'; |
|
1 |
$table_prefix = 'hoge_'; |
3.管理者名を「admin」のまま使用しない
WordPressの管理者名は デフォルト設定の場合「admin」となっています。そのまま利用していると非常にリスクが跳ね上がり危険です。
WordPressの管理画面のURLは決まっている為、管理画面に対して総当たり攻撃と呼ばれるブルートフォースアタックを行うことが容易になります。
攻撃を仕掛ける側はIDが分かっている状態からに攻撃開始を出来るのでパスワードだけに標的を絞り込めます。
ブルートフォースアタックとは
暗号の解読やパスワードの割り出しなどに用いる手法のひとつで
割り出したい秘密情報について、考えられる全パターンをリストアップし検証する方式。
英名の“brute force”の原義は「力づく」だそうです。
4.ユーザ名・ブログ上の名前を変更する
3.の内容と被りますがアカウントを作成したままの場合、ユーザ名・ブログ上の名前が同一設定とされているので「admin」と同様そのままだとパスワードのみ分かればログインできてしまうので必ず変更を行いましょう。
5.パスワードを強固なものにする
- 最低でも8文字数以上のパスワードにする。12文字以上を推奨
- アルファベットの大文字と小文字を混在させる。
- アルファベットだけでなく、数字や記号を入れる。
WordPressにはパスワードの強度を表示してくれる便利な機能があるのでそこで設定する場合は「強力」以上になるようにしてください。
自分で入力していて「考えるのめんどくせぇ！！」って方は手っ取り早くパスワードジェネレータを使いましょう。
メモし忘れて阿鼻叫喚
6.WordPressのユーザ権限について
WordPressのユーザーには5種類あり権限別にユーザに対して設定を行うことができます。
権限については以下のようになっています。
| 管理者 | 編集者 | 投稿者 | 寄稿者 | 購読者 | |
|---|---|---|---|---|---|
| テーマの変更 | ○ | ||||
| テーマの編集 | ○ | ||||
| プラグインの有効化 | ○ | ||||
| プラグインの編集 | ○ | ||||
| ユーザの編集 | ○ | ||||
| ファイルの編集 | ○ | ||||
| 設定の管理 | ○ | ||||
| インポート | ○ | ||||
| コメントの承認 | ○ | ○ | |||
| カテゴリーの管理 | ○ | ○ | |||
| リンクの管理 | ○ | ○ | |||
| フィルターなしのHTML | ○ | ○ | |||
| 投稿された記事の編集 | ○ | ○ | |||
| 他のユーザの記事の編集 | ○ | ○ | |||
| ページの編集 | ○ | ○ | |||
| ファイルアップロード | ○ | ○ | ○ | ||
| 記事の投稿 | ○ | ○ | ○ | ||
| 記事の編集 | ○ | ○ | ○ | ○ | |
| 閲覧 | ○ | ○ | ○ | ○ | ○ |
このように複数アカウントを作成するときには、各アカウントに対しての権限設定を行います。
勝手にプラグインなどを入れないように
当ブログではアカウントを2種類に分けて通常のユーザは寄稿者、マネージャー以上は管理者となっているので記事を投稿する際には承認フローを経て公開されます。
7.ディレクトリ一覧の非表示
wp-config.phpの保護を行いましたが、もう少し強化します。
WordPressにはたくさんのディレクトリがあり、知識のあるクラッカーであれば簡単にアクセス出来てしまいます。
.htaccessファイルへ下記のコードを加え、閲覧を不可能にします。
|
1 |
Options –Indexes |
この記載を行うと、変更を行った特定ディレクトリ内のサブディレクトリへのアクセスを無効化します。
8.管理画面でのSSL通信を行う
管理画面（ログイン画面も）を、SSL通信にする事で、ログイン情報が暗号化されるのでログイン情報（アカウント）を特定されにくくなります。
そのため「WordPressのログイン・管理画面」を、SSL通信（HTTPS）に設定しておきます。
wp-config.phpファイルへ下記のコードを加えます。
|
1 2 3 4 |
//管理画面はSSL通信で行う設定 define('FORCE_SSL_ADMIN', true); //ログイン画面はSSL通信で行う設定 define('FORCE_SSL_LOGIN', true); |
＊SSL通信を行う場合、証明書を発行してもらうために費用が発生する場合もあるので注意してください。
HTTPSのプラグインがあるので導入自体は比較的簡単に行えます。
9.ログイン試行回数の制限
WordPressには非常に便利なプラグインが揃っていてセキュリティ強化を行うこともできます。
その一つが
「Login LockDown」
というプラグインです。
WordPressへのログイン試行に失敗した特定範囲のIPアドレスをブロックします。
このプラグインは3回ログインに失敗すると、そのIPアドレスを1時間ブロック！！など
管理者はブロックしたIPアドレスを解除を行ったり、回数や時間の設定なども行えます。
10.All-IN-ONE-SEO−PACKの利用
このプラグインを導入することでSEO周りの設定を一括管理できます。
Googleなどの検索エンジンの検索結果に表示される内容を最適化できます。
簡単に説明すると、記事ごとにタイトル・METAタグ・ディスクリプションなどを細かく設定できます。
SEO対策と書きましたが、このプラグインを入れたら検索上位にくるということではありません。
検索エンジンの検索結果に表示される内容を最適化を行うことにより徐々に効果が出るものです。
また、SNSの設定もありOGPの設定を行うことも可能です。
OGP(Open Graph Protocol)とは簡単に説明すると、「このWebページは、こんなタイトルと内容だよ！」ということを明言するための仕様です。
こちらの設定を行うことでSNSでシェアした時に表示されるタイトル・内容・画像などを明確にできます。
以上でWordPress初心者が導入時にやっておきたい10のことをバっと書きましたが、これから構築する方の参考になればと思います。
最後までお読みいただきありがとうございました。