【XO Security】WordPressのセキュリティを強化！設定方法を徹底解説

カスタマイズ

2024年6月24日

「WordPressのセキュリティ対策はどうしたらいい？」と悩んでいませんか？

この記事では、WordPress初心者でも使いやすいセキュリティプラグイン「XO Security」をご紹介します。

クサカベ

この記事で解決できる疑問はこれ！

「WordPressのセキュリティ対策はどうすればいい？」
「XO Securityってどんなプラグイン？」
「XO Securityの使い方は？どう設定すればいい？」
「XO Securityを入れたらログインできなくなった……」

WordPressの利用には、情報流出やハッキングされるリスクがあるため、万全なセキュリティ対策で身を守ることが欠かせません。

「XO Security」を使えば、いくつかの設定を済ませるだけでWordPressのセキュリティ対策ができるので、初心者でも難しくありません。

せっかく立ち上げたブログやホームページなどのWordPressサイトを守るためにも、あらかじめしっかり対策しておきましょう。

目次 [ close ]

「XO Security」とは

出典：XO Security

「XO Security」とは、主にWordPressのログイン関連のセキュリティを強化するためのプラグインです。

そのほかに、コメント関連のセキュリティ強化もできます。

「XO Security」の主な機能には、以下のようなものがあります。

「XO Security」の主な機能

ログインの試行回数制限
CAPTCHA認証（画像認証）の追加
ログイン履歴の記録
ログイン時のアラート通知
メールアドレスまたはユーザー名でのログイン無効化
WordPressを遠隔操作する仕組みの無効化
スパムコメントからの保護
ユーザー名など外部から確認できる情報の秘匿

セキュリティを強化できるプラグインはほかにも多数ありますが、「XO Security」は簡単に操作できるので初心者におすすめです。

WordPressのセキュリティ強化は必須

WordPressは全世界のWebサイトのうち、約43％で利用されており、圧倒的なシェアを誇っています。

しかし、WordPressは利用者が非常に多いことから、ハッカーに狙われるケースも少なくありません。

サイトを改ざんされたり、サイバー攻撃の踏み台にされたり、情報が漏えいしたりするなど、さまざまなリスクが潜んでいます。

そのため、WordPressにはセキュリティ対策は必須で、とくにログイン関連のセキュリティは重要です。

真っ先に対策を講じるべき部分ですので、「XO Security」を活用してセキュリティを強化していきましょう。

「XO Security」をおすすめできる特長3つ

「XO Security」がなぜおすすめなのか、以下3つの特長について紹介します。

「XO Security」の特長点

国内で開発されたプラグイン
設定画面がシンプルな構成で分かりやすい
「.htaccess」関連の不具合が出ない

それぞれの特長について簡単に見ていきましょう。

1. 国内で開発されたプラグイン

「XO Security」は、日本人プログラマーの石鷹さんが開発したセキュリティプラグインです。

設定画面などは基本的に日本語表記で、英語が苦手な方でも安心して使えます。

とくにWordPressにも慣れていない初心者の場合、説明自体が英語というだけでも使いにくさを感じるのではないでしょうか。

「XO Security」なら安心して使えますよ！

2. 設定画面がシンプルな構成で分かりやすい

「XO Security」の設定画面は、非常にシンプルな構成で見やすく、初心者でも簡単に操作できます。

設定項目が上部のタブにカテゴライズされており、設定状況も一目瞭然です。

各項目の設定画面もつくりが分かりやすく、「有効／無効」を切り替えるだけのものや、簡易的な入力をするだけのものが多いので操作が簡単です。

WordPress初心者にとって、設定画面が分かりやすいのは大きなメリットでしょう。

3. 「.htaccess」関連の不具合が出ない

「.htaccess」とは、サーバーの動作を設定するためのファイルのことです。

セキュリティを強化するプラグインでは、この「.htaccess」の設定内容に変更を加えるものもあります。

「.htaccess」の変更は、想定していない不具合を起こす可能性があるので、細心の注意を払わなければなりません。

「XO Security」は「.htaccess」を書き換えないので、関連の不具合が生じず、初心者でも安心して利用できます。

「XO Security」をインストールしよう

「XO Security」がどんなプラグインかを理解したら、さっそくインストールしてみましょう。

インストールは、以下の手順で行います。

「XO Security」のインストール手順

WordPressの管理画面で「プラグイン」＞「新規追加」をクリック
検索窓に「XO Security」と入力して検索
「XO Security」の「今すぐインストール」をクリック
インストール完了後に「有効化」をクリック

以上でインストールは完了です。

WordPressの「インストール済みプラグイン」に、XO Securityが反映されているか確認しましょう。

「XO Security」各メニューのおすすめ設定

続いて、実際に「XO Security」を設定する方法について見ていきましょう。

各メニューごとにおすすめの設定方法を紹介するので、手順にそって進めてください。

「XO Security」各メニューの設定

「ログイン」関連設定
「コメント」関連設定
「XML-RPC」関連設定
「REST API」関連設定
「秘匿」関連設定
「環境」関連設定

一つずつ順に見てみましょう。

「ログイン」関連設定

まずはログイン関連のセキュリティを強化するための設定です。

「XO Security」の設定項目のなかでももっとも重要な内容なので、しっかりと設定していきましょう。

設定項目	説明
試行回数制限【重要】	ログインの試行回数を制限します。総当たり攻撃の対策として有効です。自分の失敗も考慮して、「1時間」または「12時間」あたり「5回」程度がおすすめです。
ブロック時の応答遅延	ログインを「ブロック」したときに応答を遅延させる設定です。最大値の「120秒」がおすすめです。
失敗時の応答遅延	ログインに「失敗」したときに応答を遅延させる設定です。最大値の「10秒」がおすすめです。
ログインページの変更【重要】	ログインページのURLを変更します。ログインページは特定されやすいので、「ON」にして任意のファイル名を入力するのがおすすめです。
ログインIDの種類	ログインに使うIDの種類を、「ユーザー名のみ」または「メールアドレスのみ」に制限します。メールアドレスはほかの経路でも特定されやすいので、「ユーザー名のみ」がおすすめです。
ログイン言語制限	ログインする言語を制限する設定です。変更のためにPHP編集が必要なこともあり、設定は不要です。
ログインエラーメッセージ	ログインエラーメッセージを簡略化する設定です。エラーメッセージからユーザー名の存在がうかがい知れるので、「簡略化」にするのがおすすめです。
CAPTCHA【重要】	CAPTCHA（画像認証）を利用するための設定です。ロボットによる不正ログイン対策に有効です。海外からの不正アクセスを考慮して「ひらがな」がおすすめです。
パスワードリセットリンク	「パスワードをお忘れですか？」のリンクを表示するかどうかの設定です。任意ですが、「有効」のままでOKです。
サイトへ移動リンク	「（サイト名）へ移動」のリンクを表示するかどうかの設定です。任意ですが、「有効」のままでOKです。
ログインアラート	ログイン時に登録メールアドレスに通知するための設定です。不審なログインに気づけるので「ON」をおすすめします。

ログインページのURLを変更したら、忘れてしまわないよう必ずブックマークしておきましょう。

また「CAPTCHA」を設定する場合、キャッシュプラグインの利用によってログインできなくなる可能性があります。

設定後は、よく動作確認をするようにしてください。

ちなみに「試行回数制限」に関しては、レンタルサーバーにも同様の機能が搭載されている場合がありますが、機能が重複しても問題はありません。

当社が提供する『エックスサーバー』でも、「WordPressセキュリティ設定」でログイン試行回数を制限しています。

クサカベ

そのほか、WordPressのスマホアプリを使う場合、頻繁にログインするので、アラート通知はオフにしておく方がよいかもしれません。

「コメント」関連設定

コメント機能のセキュリティを強化する設定です。

コメント機能がオフの場合はコメント関連の設定は必要ありませんが、使用するのであれば、以下の項目を設定しましょう。

設定項目	説明
CAPTCHA	CAPTCHA（画像認証）を利用するための設定です。ロボットによるスパムコメント対策に有効。海外からのスパムを考慮して「ひらがな」がおすすめです。
スパム保護フィルター	外国語のみのコメントを制限する設定です。「ON」がおすすめです。
スパムコメント	スパムコメントの取り扱いをどうするかの設定です。（ブロックする、スパムとして保存する、ゴミ箱へ入れる）任意ですが、何も利用する想定がないなら「ブロックする」がおすすめです。
ボット保護チェックボックス	「私はロボットではありません」というチェックを追加する設定です。セキュリティ上は「ON」がおすすめです。

ただし、コメント関連設定は、訪問者の使い勝手も考慮して検討しましょう。

たとえば、「CAPTCHA（画像認証）」と「ボット保護チェックボックス」が二重で表示されると、訪問者は「面倒だ」と感じてしまうかもしれません。

いずれかのみでの運用も視野に入れておくとよいでしょう。

「XML-RPC」関連設定

XML-RPCとは、管理画面にログインせずリモートで遠隔操作するための仕組みのことです。

ブルートフォースアタック（総当たり攻撃）や、DoS攻撃といったサイバー攻撃に悪用されることがあるので、以下のような設定をおすすめします。

設定項目	説明
XML-RPCの無効化	XML-RPCを無効化する設定です。スマホアプリやプラグインなどで利用することもあるため、「OFF」のままでOKです。
XML-RPCピンバックの無効化	ほかのWordPressサイトにURLが載ったときに通知が来る「ピンバック」機能を無効化する設定です。使っていないなら「ON」がおすすめです。

なお、レンタルサーバー側でXML-RPCに対するセキュリティを強化している場合もありますので、チェックしておきましょう。

先ほど紹介した、「エックスサーバー」の「WordPressセキュリティ設定」でも、XML-RPC APIへのアクセスを制限できますよ！

「REST API」関連設定

REST APIは、XML-RPCと同様、管理画面にログインせずリモートで遠隔操作するための仕組みのことです。

悪用されればサイトの改ざんや情報の不正取得といったリスクがあります。

ただ、プラグインなどでも利用する仕組みなので、制限を加えなくても問題ありません。

設定項目	説明
REST APIの無効化	REST APIを無効化する設定です。プラグインによっては利用しているので「OFF」でOKです。ただし、心配な場合はユーザー名のみ無効化。
REST API URLの変更	WordPressのREST APIにアクセスするためのURLを変更する設定です。「OFF」のままでOKです。

REST APIに関して、WordPressの古いバージョンでは重大な脆弱性がありましたが、今は対策がなされています。

もちろん「絶対に大丈夫」ではありませんが、現在ではそれほど心配する必要はありません。

どうしても心配であれば、ユーザー名に関する部分だけ無効化にすることをおすすめします。

ユーザー名を秘匿する

「REST APIの無効化」をONにしたうえで、ユーザー名に関する以下の部分にのみチェックを入れた状態にします。

・「/wp/v2/users」
・「/wp/v2/users/(?P<id>[\d]+)」

設定後はサイトの動作確認を忘れずに行いましょう。

「秘匿」関連設定

ここではWordPress上で標準的に利用されている情報類を隠す設定が可能です。

各項目を以下のように設定しましょう。

設定項目	説明
投稿者スラッグの編集	URLに含まれるユーザー名に相当する箇所を変更する設定です。ユーザー名を秘匿するため「ON」がおすすめです。 ※設定後、プロフィールページに追加される「投稿者スラッグ（Nicename）」に任意の文字列を設定する必要あり
投稿者アーカイブの無効化	投稿者アーカイブ（投稿者ごとの投稿をまとめたページ）を無効化する設定です。複数ユーザーでの運営でない場合や、投稿者アーカイブを使用しない場合は、「ON」がおすすめです。
コメント投稿者クラスの削除	コメント欄に利用されるHTMLコードから、ユーザー名が特定されることを防ぐための設定です。「ON」がおすすめです。
oEmbedユーザー名の削除	oEmbed機能でやり取りされるデータの中に含まれるユーザー名情報を削除する設定です。「ON」がおすすめです。
RSS／Atomフィードの無効化	フィードを無効化する設定です。 WordPressの「表示設定」で「フィードの各投稿に含める内容」が「抜粋」になっている場合は、「OFF」でOKです。
バージョン情報の削除	ソースコード内など、利用しているWordPressのバージョンに関する情報を削除する設定です。外部から特定できるようにしておく必要性はないので「ON」がおすすめです。

oEmbedは、YouTubeやTwitterなどの外部コンテンツを簡単に埋め込める機能のこと。

また、フィードとは、自動的に生成されたWordPressサイトの更新情報やページ一覧などの情報がまとめられたもののことです。

フィードに関する設定や、WordPressのバージョンについては、以下の記事も参照してみてください。

WordPressの初期設定15個！初心者が最初にやるべきおすすめの設定

2022年11月21日 2024年6月24日

【WordPress】バージョンの確認とアップデートの方法を解説

「WordPressのバージョンって何のこと？」「WordPressのバージョンアップ方法がわからない」とお悩みではありませんか？この記…

2023年3月10日 2024年6月24日

「環境」関連設定

ここでは主にログインログ（履歴）に関する項目を設定できます。

なお、とくに理由がないかぎり初期状態のままで問題ありません。

設定項目	説明
IPアドレス取得方法	IPアドレスの取得方法に関する設定です。変更不要です。
自動削除	ログインのログ（履歴）を削除するための設定です。任意ですが、変更不要です。
デフォルトで表示する結果	初期表示するログ内容の設定です。任意ですが、変更不要です。