簡単にできるWordPressのセキュリティ対策×12 | knowledge / baigie

ベイジでエンジニアをしている野村です。 ベイジには2012年の新年ともに入社し、WordPressやMovable TypeなどのCMSのカスタマイズなど、サーバーサイドの開発を中心に行っています。今後もそのあたりの情報を発信していきたいと思います。 今回は、WordPressについて。 WordPressはブログシステムというより、もはやCMSといっていいでしょう。インストールなどの設定も簡単、自由にカスタマイズできるプラグインやデザインテーマも豊富、何よりオープンソースで無償、ということで世界中で広く使われています。 このように数多くのメリットがあり、コストパフォーマンスが非常に高いWordPressですが、最近、セキュリティ上の問題を理由に、WordPressの使用を禁止している企業にしばしば出会います。 確かにWordPressは特別セキュアなCMSではありませんが、他の多くのCM

[bee_d2b]

1で「WPであることを隠す！」とは言うものの、メディアのアップ先やREST APIを隠したり、コアやテーマ側で読み込んでいるjsの無効化をしたりしないと頭隠して尻隠してない状態。

[skillshare]

執筆したエンジニアには申し訳ないけど、WPのユーザーという立場を10年以上続けている身としては記事に書かれている対策の一部は不十分。WP隠すならもっと効率良い隠し方ある。あと心配なら静的化しちゃえｗ

[witch-doktor]

一番の原因はログイン周りなのでユーザーパスワード強化が基本。脆弱性はWPおよびプラグインの自動更新で大部分をカバーできる。原則マイナーアップデート自動化でOK。WPであることを隠すのはあまり意味がないと思う

[you1]

単純に、セキュリティ系のプラグイン入れときゃいいよ。普通に使うならそれで十分。

[kibitaki]

ほとんどを防ぐことができる？？そも攻撃法や事例から入らず対策項目からなので深まらないよね。ログイン関連ばっか／プラグイン入れればいいとか、デフォルトのまま運用して設定入れてない怖い事例とか多発してる

[taxytaxy]

“SiteGurad WP Plugin”

[misarine3]

真に受けてるブクマカが多くて恐れ慄いている

[hihi01]

後で読む。

[hachiame]

“そもそも運用時にphpMyAdminを使用しないのであれば、サーバーからphpMyAdminに関するディレクトリやファイルは削除”確かに一度、WPインストールしたら使わないことの方が多いので次から削除するようにしようかな。

[nakex1]

毎日記事を書くことかな。毎日ログインしていれば異常にはすぐ気付くし，アップデートの有無も確認できるでしょ。あと，多要素認証が触れられていないのはなぜ？

[ponpon_qonqon]

いやあの、ログイン部分しか対策してないけど、WordPressの場合ほとんどは本体かプラグインのXSSが侵入ベクターでしょ？なにもしないの？　あと、静的ファイルがwp-*配下で決め打ちだからプロダクト隠蔽はほぼ無理だよ

[bit37]

これやらなきゃ

[nisisinjuku]

助かる記事だが、WordPressの問題点は12も実践しないとならないところとその更新に追われるところかな？と思ったり。

[mayumayu_nimolove]

一応最新の情報っぽいので

[kensukeo]

最近、普通のWEBアプリのプロトタイプもwordpressで作っちゃうのでこれは助かる（notプログラマー）