エックスサーバーは高速・大容量・高セキュリティのレンタルサーバーですが、強固なセキュリティを発揮するためには最適なセキュリティ設定をする必要があります。
公式な統計によると、2017年末までにサイトが改ざん 及び ハッキングされた件数は全世界で１７０万件以上あるそうです。私のホームページも日々すごい数の不正アクセスを検知しています。
大抵の場合は、XML-LPCを利用した攻撃です。
万が一の場合に備えて、エックスサーバーのセキュリティ項目を見直しておきましょう。
今回は「エックスサーバーで最適なセキュリティ設定をする８つの項目」を記事にしたいと思います。
で最適なセキュリティ設定をする８つの項目」を記事にしたいと思います。
エックスサーバーで最適なセキュリティ設定をする８つの項目
「ホームページ」のカテゴリにある「WordPressセキュリティ設定」を選択します。
【１】国外のIPアクセスを制限する
国外からのアクセスを制限します。制限されるページは「管理画面」及び「ログイン時にアクセスするファイル」です。不正侵入は海外からのアクセスが圧倒的に多いので、必ず設定しましょう。
特別な理由が無い限りは「ON」にしておきましょう。
【２】XML-RPCをアクセス制限する
WordPressにはメールで投稿できる機能が標準で備わっています。便利な機能ですが、昨今ではこのXML-RPCが標的になり頻繁に攻撃されています。メールで投稿していないのであれば、XML-RPCの機能を「無効」にしておくことを推奨します。
特別な理由が無い限りは「ON」にしておきましょう。
XML-RPCを利用したアタック
下記はセキュリティでブロックした不正侵入の履歴です。XML-RPCを狙って頻繁にログインしようとした形跡が分かると思います。また、ログイン名も「admin」や「単純な英単語」を使っていることも分かります。
結果はすべてロックされるか、失敗していますが、何の対策も立てていないWordPressは丸裸も同然です。WordPressは過剰だと思うぐらい厳重にセキュリティを施しておきましょう。
【３】REST APIを制限する
REST APIとは、ざっくり言うと「JSON 及び XMLでのデータの送受信に使われるもの」という感じです。本当はちょっと違いますが、専門用語のオンパレードになり、すごく複雑になるので、ざっくり考えておきましょう。
これは「パスに含めるクエリ」や「パスに含めるパラメータ」を制限します。
特別な理由が無い限りは「ON」にしておきましょう。
【４】ログインリミットを設置する
ログインの試行回数を制限します。これらは短時間に連続して行われる不正アクセス（ブルートフォースアタック）に対して有効な設定です。ログインが失敗したとき、２４時間はアクセスすることができません。
ただし、自分自身が締め出される可能性があるので注意が必要です。そのような場合は、エックスサーバーの管理画面のこの設定を「OFF」にしましょう。再び管理画面にアクセスできるようになります。
特別な理由が無い限りは「ON」にしておきましょう。
【５】大量のコメント・トラックバックの制限
WordPressのテーマには投稿記事にはコメントできる機能が付いているものがあります。コメント機能は便利なのですが、大量のスパムコメント（広告）が贈られると、当然、サーバーの容量が圧迫されます。
プラグインの「Akismit」や「Span byebye」などで防ぐことも可能ですが、トラックバックに制限をかける場合は、下記の機能を「ON」にしておきましょう。
【６】国外からのコメント・トラックバックの制限
スパムコメントやトラックバックのほとんどが海外からです。この機能を「ON」にすることで、海外からの利用を制限することができます。
【７】PHPのバージョンを７系に変更する
PHPのバージョンが古い場合は、「ホームページ」のカテゴリにある「PHP Ver.切替」から、PHPバージョンを７.x に変更します。古いバージョンではサポートされないため、まだ切替ていない人はすぐにバージョンアップしましょう。
【８】SMTP認証の国外アクセス制限
海外からのSMTP認証を制限するための設定です。メールアカウントを不正利用されないように、制限をかけます。この設定も特別な理由が無い限り「ON」にしておきましょう。
あとがき
エックスサーバーを新規で契約した人も、長年使っている人も、上記のセキュリティ項目を確認しておきましょう。基本的には複雑な設定は必要なく、「ON」と「OFF」の切り替えのみなので、簡単に設定することができます。
ただし、使用しているプラグインによっては、「OFF」にすることで何らかの影響が出来る可能性もあります。複数のクライアントを抱えている事業者の方は、プラグインのことまで考えて対策を立てる必要があるでしょう。
「転ばぬ先の杖」
いざという時に備えて、常にセキュリティを強固にしておきましょう。