「XO Security」の初期設定とログインできないときの復旧方法【変更したログインURLを忘れた場合】

この記事では、プラグイン「XO Security」の初期設定と使い方を、画像を用いてわかりやすくご紹介します。

WordPress(ワードプレス)で必ず最初にインストールするのが、ログインセキュリティ系のプラグインです。

XO Security」なら、プラグイン1つで不正アクセス対策やコメントスパム対策を行うことができます。

suya

ログインページのURL変更は定番ですね。

なるほどくん

なるほど!大切なサイトを守りたいですね。

この記事でできること
  • XO Security」の初期設定が完了できる
  • 設定項目の重要度がわかる
  • 管理画面にログインできないときの対処法がわかる
この記事を書いた人

suya

  • 前職は大手IT企業
  • マーケターエンジニアの両方を経験
  • 月1億円のWeb売上
  • セキュリティの専門家(国家資格
  • 前職は大手IT企業
  • マーケターエンジニア
  • 月1億円のWeb売上
  • セキュリティ国家資格

この記事を最後まで読めば、WordPress(ワードプレス)で不正アクセス対策がすぐ完了します。

ぜひ最後まで進めてみてください。

すでに途中まで進めている人は、目次から該当箇所に飛ぶこともできます。

目次

WordPressに不正アクセス対策プラグインが必要な理由

ログインセキュリティプラグインは、以下のような目的で必要になります。

不正アクセス対策プラグインを利用する目的
  • 自分の個人情報漏洩を防ぐため
  • 顧客の個人情報漏洩を防ぐため(ビジネスサイト)
  • サイトの改ざんを防ぐため
  • 踏み台にされて、第三者を攻撃しないため(最悪訴訟)

WordPress(ワードプレス)を利用する場合は、必ずインストールするようにしてください。

suya

踏み台にされると、海外から警告が届いたりします。

公開されたサイトは、気づいていないだけで、悪意のあるロボットから毎日攻撃を受けています。

以下のような対策も合わせて実施してください。

WordPressの最低限のセキュリティ対策
  • デフォルトのユーザー名(admin、userなど)から変更する
  • 簡単なパスワードから複雑なパスワードに変更する
  • サイトをSSL(https)対応する

不正アクセス対策をしていないとどうなるか?

例えば、パスワードの辞書攻撃などによるログイン試行をブロックすることができません。

suya

時間はかかりますが、いずれ突破されます。

なるほどくん

なるほど!対策が必要ですね。

例えば、自分以外の誰かがログインしても、気づくことができません。

suya

設定しておけば、ログイン通知メールが届きます。

なるほどくん

なるほど!すぐ気づけますね。

例えば、コメントスパムが毎日のように届きます。

suya

ロボット判定機能でスパムを防止できます。

なるほどくん

なるほど!余計な通知が減りますね。

プラグイン「XO Security」がおすすめの理由

ログインセキュリティプラグインは、設定がシンプルでわかりやすい「XO Security」がおすすめです。

suya

国産プラグインで、設定もすべて日本語でできます。

「XO Security」でできること
  • CAPTCHA(画像認証)でログイン認証
  • ログインURLの変更(管理画面と分けることができる)
  • コメントスパム対策(プラグイン「Akismet」が不要になる)
  • 投稿者スラッグの秘匿(プラグイン「Edit Autor Slug」が不要になる)
  • XML-RPC の無効化
  • REST API の無効化
suya

プラグインを2つ減らせるのも地味にいいです。

「XO Security」と「SiteGuard WP Plugin」の違い(比較)

同様のセキュリティプラグインとして「SiteGuard WP Plugin」がありますが、初心者には「XO Security」がおすすめです。

比較項目XO SecuritySiteGuard WP Plugin
全体機能シンプル複雑
ログイン障害の少なさ(「.htaccess」不要)×
ログインCAPTCHA(画像認証)
コメントCAPTCHA(画像認証)
コメント日本語のみ制限・チェックボックス×
ログインURLの変更
ログインエラーメッセージの簡略化
ログインロック(試行回数制限など)
メールアドレスのログイン拒否×
ログインアラート(メール通知)
ログインログ(履歴)
ログインログの自動削除×
フェールワンス(必ず一回ログイン失敗)×
管理ページアクセス制限×
XML-RPC の無効化
REST API の無効化
投稿者スラッグの秘匿
WordPressバージョン情報の秘匿×
バージョンアップの更新通知(メール通知)×

XO Security」は「.htaccess」ファイルを改変しないため、設定ミスなどでログイン障害になりにくいです。

これだけでも「XO Security」がおすすめですが、他にもかゆいところに手が届くようになっています。

「SiteGuard WP Plugin」より「XO Security」がおすすめの理由
  • 設定画面がシンプルでわかりやすい
  • コメント荒らし(コメントスパム)CAPTCHA(画像認証)なしで対策できる
  • メールアドレスでのログインを拒否できる
  • Nginxサーバーでも利用しやすい(「.htaccess」不要)
Nginxサーバーの例
  • エックスサーバー
  • ConoHa WING
  • お名前.comサーバー
XO Securityを利用しましょう

1) プラグイン「XO Security」をインストール

作業を開始する前に、必ずバックアップを取得してください。

WordPress(ワードプレス)にログインしたら、左メニューの[プラグイン][新規追加]をクリックして、[プラグインの検索]をします。

WordPress(ワードプレス)のプラグインを検索して新規追加
[プラグイン]→[新規追加]から、[プラグインの検索]

[プラグイン][新規追加]から「XO Security」を検索して、[今すぐインストール]した後に[有効化]します。

WordPressプラグイン「XO Security」のインストール
「XO Security」をインストール・有効化

2) プラグイン「XO Security」の初期設定

XO Security」は、デフォルト設定がすべてOFFのため、必ず設定変更するようにしてください。

時間のない方は、画像だけ見ながら設定作業をしてみてください。

事前) ステータス

左メニューの[設定][XO Security]をクリックして、「XO Security 設定」を開きます。

WordPressプラグイン「XO Security」の設定画面(ステータス初期設定)
「XO Security 設定」を開く

ステータス」を見ると、まだ何も設定されておらず、ログインログ(履歴)だけ記録が開始されています。

1) ログイン設定

タブメニューの「ログイン」をクリックして、「ログイン設定」画面を開きます。

WordPressプラグイン「XO Security」のログイン設定
「ログイン設定」を開く

試行回数制限、応答遅延、ログインページの変更、ログインIDの種類、ログインエラーメッセージを変更します。

WordPressプラグイン「XO Security」のログイン設定(ログイン関連)
試行回数制限、応答遅延、ログインページの変更、ログインIDの種類、ログインエラーメッセージを変更
重要度設定項目説明
試行回数制限ロボット試行回数でログインロック
12時間で4回までリトライ可能に設定
ブロック時の応答遅延ログインロック時に応答遅延
→ 最大(120秒)に設定
失敗時の応答遅延ログイン失敗時に応答遅延
→ 最大(10秒)に設定
ログインページの変更ログインURL(wp-login.php)の変更
変更したら必ずブックマーク
ログイン ID の種類ユーザー名とメールアドレスから選択
→ 公開するメールアドレスログイン拒否
ログイン言語制限ログインする言語を制限
→ PHP(プログラミングコード)の編集が必要
ログインエラーメッセージログイン失敗時のエラー表示
簡略化してログイン失敗理由を秘匿

ログインページの変更を設定した場合、必ず変更したログインページのURLをブックマークしておいてください。

WordPressプラグイン「XO Security」のログイン設定(ログインページのブックマーク)
変更したログインページのURLをブックマーク

ログインページからでないと、管理画面やダッシュボード(/wp-admin/)にアクセスできなくなります。

  • ログインURLの変更は、アクセスできなくなるなどの不具合も起こるため、他の対策をしっかりやっている場合は不要です。(二段階認証など)

ログイン ID の種類は、メールアドレスのログインを拒否するため、「ユーザー名のみ」にするのがおすすめです。

悪意のある人物・ロボットが、公開されているメールアドレスを収集して、不正ログインに用いる恐れがあります。

ログインエラーメッセージは、存在するユーザー名を秘匿するため、「簡略化」するのがおすすめです。

WordPress(ワードプレス)では、以下のようにユーザー名が存在するかどうか、エラーメッセージで判別できてしまいます

このエラーメッセージを簡略化することで、ユーザー名が特定されるのを防止します。

WordPressのログインエラーメッセージ

ユーザー名が存在しない場合

WordPressプラグイン「XO Security」のログイン画面(ユーザー名のエラーメッセージ)
ログインユーザー名のエラーメッセージ

ユーザー名が存在する場合

WordPressプラグイン「XO Security」のログイン設定(パスワードのエラーメッセージ)
ログインパスワードのエラーメッセージ

CAPTCHA、ログインアラートを変更して[変更を保存]をクリックします。

WordPressプラグイン「XO Security」のログイン設定(ログインフォーム、ログインアラート)
CAPTCHA、ログインアラートを変更
重要度設定項目説明
CAPTCHAログインフォームに画像認証を設置
→ 海外ロボットが対応できない「ひらがな」を選択
パスワードリセットリンク「パスワードをお忘れですか?」のリンク表示
→ 本当に忘れたときのために「有効」のまま
サイトへ移動リンク「← デモサイト へ移動」のリンク表示
→ ドメイン同じなら「有効」のまま
ログインアラート誰かがログインしたときのメール通知
→ 自分以外のログインに気づくためにON

CAPTCHAは、日本語サイトであれば、「英数字」ではなく「ひらがな」に設定することをおすすめします。

日本語対応のロボットは少ないため、日本語にするだけで強力なロボット対策になります。

CAPTCHAを「ひらがな」に設定すると、以下のようなログインページに変更されます。

WordPressプラグイン「XO Security」のログイン画面(CAPTCHAひらがな)
CAPTCHA「ひらがな」設定のログインページ

タブを切り替える前に[変更を保存]しないと、変更内容が破棄されるため注意してください。

2) コメント設定

タブメニューの「コメント」をクリックして、「コメント設定」画面を開きます。

WordPressプラグイン「XO Security」のコメント設定
「コメント設定」を開く

CAPTCHAを「ひらがな」に設定して[変更を保存]をクリックします。

WordPressプラグイン「XO Security」のコメント設定(CAPTCHA)
CAPTCHAを「ひらがな」に設定
重要度設定項目説明
CAPTCHAコメントフォームに画像認証を設置
→ ユーザーはひらがなで画像認証を入力
スパム保護フィルターコメントフォームを日本語のみに制限
→ ユーザーは気にならないが、bot増加
スパムコメントスパムコメントをどうするか
→ ブロック/ スパムとして保存 / ゴミ箱 から選択
ボット保護チェックボックス「私はロボットではありません。」チェックボックスを追加
ユーザーはチェックボックスをチェック

スパム保護フィルター」では、日本語タイトルをコピペするBotに突破されました。

ユーザー操作が必要になりますが、「CAPTCHA(画像認証)」か「ボット保護チェックボックス」のどちらかを設定するのをおすすめします。

両方設定してしまうと、ユーザビリティが損なわれるため、必ず片方だけ設定するようにしましょう。

ボット保護チェックボックス」をONにすると、以下のようにコメント入力の際にチェックボックスに同意が必要になります。

WordPressプラグイン「XO Security」のコメント設定(ボット保護チェックボックス )
私はロボットではありません。

これは、人とロボットプログラムの挙動を判別するためのものです。

XO Security」を導入していれば、スパム対策プラグインAkismet」が不要になります。

プラグインを一つでも減らせば、それだけ不具合が減り、サイト表示速度も速くなるためSEO対策にもなります。

3) XML-RPC 設定

タブメニューの「XML-RPC」をクリックして、「XML-RPC設定」画面を開きます。

WordPressプラグイン「XO Security」のXML-RPC設定
「XML-RPC設定」を開く

XML-RPC ピンバックの無効化のトグルをONに変更して[変更を保存]をクリックします。

WordPressプラグイン「XO Security」のXML-RPC設定(XML-RPCピンバックの無効化)
XML-RPC ピンバックの無効化をON

XML-RPCとは、プログラム開発に利用する通信方式(プロトコル)の一種です。

ブルートフォースアタック(総当たり攻撃)などの攻撃に悪用されることがあります。

ただし、XML-RPCを無効にすると、プラグインが動かなくなってしまうことがあります。

そのため、DDoS攻撃(過負荷攻撃)に悪用されるXML-RPC ピンバックだけ無効化します。

4) REST API 設定

タブメニューの「REST API」をクリックして、「REST API設定」画面を開きます。

WordPressプラグイン「XO Security」のREST API設定
「REST API設定」を開く

REST API の無効化を設定して[変更を保存]をクリックします。

WordPressプラグイン「XO Security」のREST API設定(REST APIの無効化)
REST API の無効化を設定

REST APIとは、プログラム開発に利用する通信方式(プロトコル)の一種です。

これまでに、サイト改ざんなどの脆弱性を悪用する攻撃が行われています。

ただし、REST APIを無効にすると、プラグインが動かなくなってしまうことがあります。

そのため、ユーザー名の秘匿に関わる以下の項目のみ無効化するのをおすすめします。

/wp/v2/users
/wp/v2/users/(?P<id>[\d]+)

WordPress(ワードプレス)の脆弱性を悪用されないように、定期的にアップデート(更新)して最新のバージョンに保ちましょう。

5) 秘匿設定

タブメニューの「秘匿」をクリックして、「秘匿設定」画面を開きます。

WordPressプラグイン「XO Security」の秘匿設定
「秘匿設定」を開く

投稿者スラッグの編集、コメント投稿者クラスの削除、バージョン情報の削除をONにして[変更を保存]をクリックします。

WordPressプラグイン「XO Security」の秘匿設定(投稿者スラッグ、RSSフィード、WordPressバージョン)
投稿者スラッグの編集、コメント投稿者クラスの削除、バージョン情報の削除をON
重要度設定項目説明
投稿者スラッグの編集投稿者アーカイブ(著者ページ)URLに含まれるIDの変更
ユーザー名を秘匿するためONに変更
投稿者アーカイブの無効化投稿者アーカイブ(著者ページ)のアクセス制限
→ 記事一覧を表示するためOFFのまま
コメント投稿者クラスの削除コメント投稿者に含まれるIDの削除
ユーザー名を秘匿するためONに変更
RSS/Atom フィードの無効化RSSフィードの無効化
→ 「要約」配信ならOFFのまま
バージョン情報の削除WordPressバージョン情報の削除
→ 古い脆弱性を狙われないようにONに変更

WordPressの「表示設定」で、「フィードの各投稿に含める内容」を[要約]に設定している場合は、RSS/Atom フィードの無効化をする必要はありません。

WordPress(ワードプレス)の表示設定(フィード要約)
フィード設定を変更

その他のWordPress(ワードプレス)の初期設定については、以下を参考にしてください。

投稿者スラッグの編集をONにした場合、投稿者スラッグをデフォルト設定(ユーザー名)から変更する必要があります。

左メニューの[ユーザー][プロフィール]もしくは右上のアイコンから、「プロフィール設定」画面を開きます。

ページ下部の「投稿者スラッグ」をユーザー名以外に変更して[プロフィールを更新]をクリックします。

WordPressプラグイン「XO Security」の投稿者スラッグ(ユーザープロフィール設定)
「投稿者スラッグ」をユーザー名以外に変更

投稿者スラッグを「空白」にしてしまうと、ユーザー名(ログインID)が設定されるため注意してください。

投稿者アーカイブとは、投稿者ごとに記事一覧を表示するアーカイブページです。著者ページとも呼びます。

投稿者スラッグとは、投稿者アーカイブページのURLのユーザー名を表す部分です。

suya

投稿者スラッグから、ユーザー名(ログインID)がわかることがあります。

以下の投稿者アーカイブのURLにアクセスしてみてください。(数字は投稿者によって異なる)

https://ドメイン名/?author=1

設定によっては、以下のように投稿者スラッグのわかるページにリダイレクトされます。

https://ドメイン名/author/投稿者スラッグ

このサイトでは、以下のような著者ページが作成されています。

https://manuon.com/author/suya/

リダイレクトされるかどうかや、リダイレクト先のURL形式は、WordPressの「パーマリンク設定」によって異なります。

投稿者スラッグは、デフォルトではユーザー名(ログインID)に設定されています。

そのため、投稿者スラッグの編集で、ユーザー名(ログインID)から変更します。

XO Security」を導入していれば、プラグインEdit Autor Slug」が不要になります。

プラグインを一つでも減らせば、それだけ不具合が減り、サイト表示速度も速くなるためSEO対策にもなります。

6) 環境設定

「環境設定」画面は、デフォルト設定(自動)のままで大丈夫です。

WordPressプラグイン「XO Security」の環境設定
「環境設定」を開く
重要度設定項目説明
IP アドレス取得方法接続IPアドレスの取得方法
→ デフォルト設定(自動)のまま
自動削除ログインログ(履歴)の保存期間
→ デフォルト設定(365日以前)のまま
デフォルトで表示する結果ログインログのデフォルト表示
→ ご自由に

以上で、セキュリティプラグイン「XO Security」の設定は完了です。

タブを切り替える前に[変更を保存]しないと、変更内容が破棄されるため注意してください。

ログインページの変更を設定した場合、必ず変更したログインページのURLをブックマークしておいてください。

WordPressプラグイン「XO Security」のログイン設定(ログインページのブックマーク)
変更したログインページのURLをブックマーク

ログインページからでないと、管理画面やダッシュボード(/wp-admin/)にアクセスできなくなります。

参考)フッターやサイドバーのログインリンクを非表示にする方法

WordPress(ワードプレス)では、最初サイドバーフッターにログインページへのリンクが表示されています。

WordPressウィジェットのメタ情報(ログイン)
メタ情報

デザインテーマによって、サイドバーフッターのどちらに表示されているかは異なります。

このままでは、せっかく変更したログインURLが公開されてしまいます。

suya

忘れないうちに、ログインURLを非表示しておきましょう。

左メニューの[外観][ウィジェット]から、サイドバーフッター[メタ情報]ブロックを[削除]してください。

参考) ログインログの確認

左メニューの[ユーザー][ログインログ]をクリックすると、ログインログ(履歴)を確認することができます。

WordPressプラグイン「XO Security」のログインログ(ユーザープロフィール設定)
ログインログを開く

3) URLを忘れたとき / 管理画面にログインできないときの対処法

STEP
サーバーディレクトリにアクセス

FTPソフトやレンタルサーバーのファイルマネージャーでサーバーディレクトリにアクセスします。

STEP
プラグインフォルダの名前を変更

/public_html/サイト/wp-content/plugins/xo-security/を「xo-security2」などに変更します。

STEP
WordPressにログイン

プラグイン「XO Security」が無効化された状態でログインできるはずです。

STEP
ログインできたらフォルダ名を元に戻す

/public_html/サイト/wp-content/plugins/xo-security2/を「xo-security」に戻します。

STEP
「XO Security」の設定を確認・変更する

必ず変更したログインページのURLをブックマークしておいてください。

やり方を忘れそうな人は、本ページをブックマークしておきましょう。

この記事のまとめ

プラグイン「XO Security」の初期設定と管理画面にログインできなくなったときの復旧方法を見てきました。

重要度の高いところは、必ず設定するようにしてください。

なるほどくん

設定忘れてました。

WordPress(ワードプレス)で最初に入れるその他の基本プラグインは、以下を参考にしてください。

アクセスや収益をUPさせるノウハウ紹介

実際の経験を元に、効果のあった施策をまとめました。

よかったら見ていってください。

ドメインパワーUPでSEOに効く被リンク獲得リスト

被リンクというと、ブラックなやり方を想像される方が多いかもしれません。

しかし、多くのサイトを分析してみると、みんな使っている登録サイトが存在することがわかりました。

ドメインパワーがSEOに重要な地位を占める現状では、自然なホワイトリンクの獲得戦略が欠かせません。

実際に既存サイトでも大きな効果を上げることができたので、ここでご紹介したいと思います。

リンクフリー
URLをコピーする
URLをコピーしました!

コメント

コメントする

目次
閉じる