WordPress管理画面を不正アクセスから守る
投稿日：2015年11月13日
最終更新日：
目次
- 防御すべき対象
- .htaccess記述例
- 注意点
防御すべき対象
WordPressで防御しなければならない箇所は、wp-login.phpになります。wp-login.phpに誰でもアクセスできる状態だと、ユーザー名とパスワードの総当たり攻撃で突破される可能性があります。wp-adminディレクトリには、管理する上で重要な機能が詰まっているので、やはり誰でもアクセスできる状況はよろしくありません(が、ログインしてないユーザーがアクセスしてきたら問答無用でwp-login.phpに飛ばすのでそこまで神経質にならなくても大丈夫です。)
今回は、防御対象について、.htaccessを用いてアクセス規制を敷きます。
.htaccess記述例
というわけで、早速.htaccess記述例です。 [VIM]
こんな感じで診断結果が表示されるので、ここからIPアドレスやリモートホスト名を取得して設定します。基本的にはIPアドレスを記述すればいいです。IPアドレスが頻繁に変わる環境ならリモートホスト名での記述を検討…といったところでしょうか。
注意点
この設定により、記述していない環境からの管理画面へのアクセスは（たとえ自分のアクセスでも）遮断されます。サーバーのFTP(SFTP,SSHなどを含む)アカウントのログインパスを失った地点で、自分のアクセスもできなくなるも同然なので、少なくともサーバーのログインパスはきちんと管理しましょう（と言うか各種サービスのアカウント管理はきちんとしましょう）。
