『WEB DESIGNING』2022年10月号のWordPressのセキュリティ対策をやってみた

2022.11.152024.01.21

リンク

『WEB DESIGNING』2022年10月号でセキュリティ関係の特集が組まれていまして、WordPressに関するセキュリティ対策が掲載されていました。

このブログもWordPressで作っていますし、僕が勤める会社のコーポレートサイトもWordPressで作っているので、これを機にセキュリティについてしっかり取り組もうと思った次第です。

インストール時の変更
1. wp-config.phpのパーミッションを600に変更
2. function.phpで削除コマンドを追加
プラグイン

インストール時の変更

WordPressの本体ファイルをいじるタイプの対策です。

もしかすると後述のプラグインよりもハードルは高いかもしれませんが、そんなに難しい内容ではないのでやってみましょう。

wp-config.phpのパーミッションを600に変更

これはすでになっていました。これはFFFTPでパーミッションを確認した画面です。

パーミッション600とは、オーナーによる呼び出しと書き込みが有効になった状態で、外部から操作されないようになります。

wp-config.phpにはデータベースやアクセスするパスワードなどの情報が記載されているので、ここの中身が見えたり書き換えられたりするとサイトを乗っ取られたり改ざんされてしまいます。

function.phpで削除コマンドを追加

WordPressは普通に使っているだけでWordPress特有のタグがばんばんサイトに使われます。

余計なタグはページの読み込みが遅くなる他、WordPressを使っていることがわかってしまい、攻撃のターゲットにされてしまう可能性が高くなります。

そういうわけでfunction.phpで不要なタグを削除するコマンドを記述します。

ただ、何を記述するかはこの本に書いていなかったので調べました。いろいろ記事が出てきましたが、下記のリンクがセキュリティのことを重視しているように見えたので参考にしました。

【WordPress】functions.phpで不要なタグを削除しよう - 株式会社DOL

DOLが抱えているサイトリニューアル案件では、WordPressのオリジナルテーマを作成することが多々あります

//不要なタグを削除
// WordPressバージョン情報の削除
remove_action('wp_head','wp_generator');

// Windows Live Writerの削除
remove_action('wp_head', 'wlwmanifest_link');

// 絵文字設定の削除
remove_action( 'wp_head', 'print_emoji_detection_script', 7 );
remove_action( 'wp_print_styles', 'print_emoji_styles' );

// RSDの削除
remove_action( 'wp_head', 'rsd_link' );

どれが不要かというのはサイトによって違うのですが、バージョン情報については削除が推奨されています。アップデートしていないことがモロバレになりますしね。