最近、WordPressの不正ログイン被害が多く発生しているそうです。
WordPressは何も考えずインストールすると、管理ユーザー名は「admin」となってしまいます。
今回の不正ログインでは管理ユーザー名の「admin」に対して、さまざまなパスワードにて
ログインを試みる、いわゆるブルートフォースアタックと呼ばれるものです。
簡単なパスワードにしていると高確率でログインされてしまい「フィッシングサイト」に利用されたり「情報漏えい」したりとんでもないことになってしまいます。
そんな事になる前に対策を行っておきましょう
管理画面へのログインをIP制限
・特定のIPアドレスからしか編集を行わない
・サーバーが.htaccessを使用できる
上記の場合はそもそも管理画面にログインできるIPを制限してしまったら安心です。
[code]
<Files “wp-login.php“>
order deny,allow
deny from all
allow from xxx.xxx.xxx.xxx
</Files>
[/code]
上記のように記述した.htaccessをwp-login.phpと同階層に置けば特定のIP以外からのログイン画面への接続を制限する事が出来ます。
インストール時に作るIDをadminではなく別のものに
最新のwordpressではインストール時に作成するIDを任意に決定できます。
こちらでadmin以外のユーザー名を指定して下さい。
すでにインストールされたWordPressのIDを変更する
すでにadminユーザーとしてインストールされたWordPressの場合はすこし手間がかかります。
手順としては以下の通り
１．adminユーザーで別のIDの管理ユーザーを作成
ユーザー > 新規作成 で新規のユーザーを作成します。
権限を管理者にするのを忘れずに
２．adminユーザーをログアウトして新規のユーザーでログインします
するとadminユーザーが削除できるようになってますので削除。
マルチサイトWordPressのIDを変更する
すでにadminユーザーとしてインストールされたマルチサイト用のWordPressの場合はさらに手間がかかります。
手順としては以下の通り
１．サイトネットワークの新規ユーザー作成
参加サイト ＞ サイトネットワーク管理者 ＞ ユーザー ＞ 新規追加 にて新規ユーザーを追加します。
２．作った新規ユーザーに「特権管理者権限」を与える
参加サイト ＞ サイトネットワーク管理者 ＞ ユーザー ＞ 一覧 にて作成した新規ユーザを編集し、
「このユーザーにネットワーク特権管理者権限を与える」にチェックを入れて更新します。
３.各サイトにサイトネットワーク管理者のユーザーを追加する
各サイトのユーザー > 新規作成 で新規のユーザーを作成します。
マルチサイトの場合は既存のユーザーをメールアドレスから追加します。
この作業を全サイトぶん繰り返します。
４.adminユーザーの権限を削除する
adminユーザーをログアウトし、新規作成したユーザーでログインします。
新規作成したユーザーでadminユーザーの権限を削除します。
各サイトのユーザー > adminユーザーの編集を行い、権限を「このサイトでの権限なし」に変更します。
この作業を全サイトぶん繰り返します。
この作業が完了するとネットワーク管理者一覧でのadminユーザーの「サイト」に何も表示がなくなります。
この状態を確認したらadminユーザーの管理者権限をはずし
後はサイトネットワーク管理者からadminを削除して完了です。