セキュリティ対策プラグイン【SiteGuard WP Plugin】の設定方法（使い方）

サイトを運営するうえで一番悩ましいのが、不正アクセス対策やスパム対策です。

せっかくブログの開設、運営ができるようになったのに、不正アクセスなどの攻撃でブログが改ざんされると、元のクリーンな状態に戻すにはものすごい労力が必要となります。
下手すれば、プロの業者さんに何万円も支払わないと復元できないかもしれません。

WordPressの場合は、セキュリティ対策ができるプラグインがいくつか利用できるようになっているので、プラグインの機能を有効利用して効果的な対策をしていきましょう。

ここでは、「SiteGuard WP Plugin」の設定方法（使い方）を中心に詳しく解説していくので、セキュリティ対策を検討している人は、ぜひ参考にしてください。

「SiteGuard WP Plugin」は必要か

「SiteGuard WP Plugin」は必要か？と問われると、このプラグインがなくてもサイトの運営は可能です。

結論を書くと、

WordPressの場合は、「SiteGuard WP Plugin」などのセキュリティ対策プラグインの導入は必要（必須）と言えます。

せっかく、収益を確保しているサイトが改ざんによって無関係なサイトに書き替えたられたりすると、目も当てられません。

しかも、一度不正アクセスされると、元のクリーンな状態に戻すのもかなり難易度の高い対応となります。

不正アクセスの手段として一番多いのが、WordPressのログインページからの侵入だと言われます。

侵入を完全に防ぐのは至難のわざですが、標準のログインページを任意のURLに変更するだけでも不正アクセスのリスクはグッと低くなります。

今回、解説する「SiteGuard WP Plugin」は、ログインページの変更をはじめ、ログインユーザー名を隠蔽するなどの、セキュリティ対策となる機能が搭載されています。

「SiteGuard WP Plugin」の設定方法（使い方）

「SiteGuard WP Plugin」をインストールして、設定をしていきます。

インストール/有効化

「SiteGuard WP Plugin」をインストールして有効化します。

「今すぐインストール」→「有効化」をクリック。

設定項目一覧

「SiteGuard WP Plugin」にセキュリティ対策項目を確認してみましょう。

WordPressの管理メニューの「SiteGuard 」→「ダッシュボード」をクリック。

ダッシュボードが開くと設定項目の一覧が確認できますが、緑のチェックマーク項目はデフォルトで設定済みであることを示します。

次から、未設定（「ログインページ変更」含む）の項目について設定をしていきます。

基本的に、上の画像で緑のチェックがついている項目は、変更（設定）の必要がありません。

未設定項目を設定する

ここでは、未設定項目と「ログインページ変更」の項目（赤枠の項目）を設定します。

ダッシュボードから該当のリンクから開いてください。

管理ページアクセス制限

変更は必須
WordPressにログインしていない人から、管理ページへアクセスできないように対策します。

「有効」を押して「変更を保存」をクリック。

ログインページ変更

「ログインページ変更」は標準状態では既に設定済みとなっていますが、一部設定内容を変更します。

変更は必須
標準の状態では、ログインの標準URL（https://wp-admin/）にアクセスすると、変更後のログインURLにリダイレクト（転送）されてしまいます。
これを防ぐために設定を変更します。

赤枠のオプションにチェックをつけて、「変更を保存」をクリックしてください。

ユーザー名漏えい防御

変更は必須
WordPressにログインするユーザー名がわからないように、隠蔽します。

WordPressの場合、標準の状態ではURLの後ろに「?author=1」をつけてアクセスすると、簡単に登録ユーザー名が確認できてしまいます。

ユーザーID（author）の「1」には、インストールを実施した管理者権限のある人が割り当てられるので、必ずこの対策は実施しましょう。

現在有効化されているプラグインが下に一覧表示されるので、「除外プラグイン 追加」ボタンを押して、すべてのプラグインを上の「除外プラグイン」の方に移動させます。
その後、「REST API 無効化」にチェック→「有効」をクリック→「変更を保存」をクリックします。

変更不要項目（設定済）

ここでは、標準状態で既に設定済みとなった項目について解説します。

設定済みの項目は変更しなくても問題ありません。

画像認証

既に有効なので変更は不要
不正アクセス対策やスパム対策として、ログインページやコメントページなどに画像認証を追加する設定です。

有効化されると、ログインページやコメントのページには画像認証が表示されるようになります。

パスワード確認ページの画像認証

ログイン詳細エラーメッセージの無効化

既に有効なので変更は不要
このプラグインをインストールされていない場合、ログイン画面でユーザー名やパスワードが間違った時のエラーメッセージには、ログインできるユーザー名が表示されてしまいます。

これだと、攻撃者にユーザー名が漏れてしまうんですよね。

このプラグインをインストールするだけで、ユーザー名が表示されないエラーメッセージが出力されます。

ログインロック

既に有効なので変更は不要
連続で何度もログインを試行された時に、しばらくログイン処理が実行できないようにする設定です。

ログインアラート

場合によって変更も可
WordPressにログインがあるたびに、ログイン情報をメールで通知する設定です。

ログインがあるたびに、ログイン者の情報がメールで通知されます。

XMLRPC防御

既に有効なので変更は不要
XML-RPC経由での攻撃などによる不正ログインを無効化する設定です。

更新通知

既に有効なので変更は不要
WordPress、プラグイン、テーマのアップデート（更新）が必要な時に、その旨をメールで通知する設定です。

場合によっては設定する項目

以下は、必要であれば適宜設定する項目です。

フェールワンス

必要であれば有効にする
不正アクセス対策として、ログインが成功しても1度はわざとエラーにする設定です。

この設定も不正対策には有効ですが、自分自身もログインでは一度エラーとなります。
それがわずらわしくなければ設定してもいいでしょう。

設定不要項目

以下は、設定変更が不要の項目です。

WAFチューニングサポート

法人向けの機能
この設定について画面下に詳しい説明が書かれていますが、要は過剰に反応するWAFを抑制する設定です。

まとめ

先にも書いてますが、WordPressの利用率は非常に高いので、悪意のある第三者からの標的になりやすいです。

WordPressのログインページのURLを変更する機能をはじめ、さまざまなセキュリティ対策が可能となっている「SiteGuard WP Plugin」を導入して、安心してサイト運営ができるようにしましょう！