WordPressを守る設定その１

ワードプレスはとてもハッキングに弱いと聞いていますので、少しセキュリティ面を強化したいと思います。

[1] .htaccessの保護

.htaccessに不正アクセスされないように、.htaccessファイル自体をアクセス拒否します。

<Files ~ "^.*\.([Hh][Tt][Aa])">
order allow,deny
deny from all
satisfy all
</Files>

[2] wp-config.phpの保護

wp-config.phpにはパスワードなどが平文で書かれていますので、こちらもアクセス拒否するようにします。

<files wp-config.php>
order allow,deny
deny from all
</files>

[3] インクルードファイルの保護

インクルードファイルはユーザからアクセスする必要がないので、こちらもアクセス拒否するようにします。

<IfModule mod_rewrite.c>
・・・

RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]

・・・
</files>

[4] SITEGUARD_PLUGINを導入

いろいろセキュリティプラグインがありますが、手っ取り早くwp-login.phpを別のものにしたいので、SiteGuard Pluginを導入して、WPログイン画面を隠蔽します。