WordPressのセキュリティプラグイン「iThemes Security」の初期設定を解説&おすすめ設定を紹介してみる

はろー！鮎月(あゆつき) です！

今回は、個人的におすすめなWordPressのセキュリティプラグイン「iThemes Security」を紹介します。

インストール

公式プラグインとして登録されているので、管理画面からインストールができます。

「iThemes Security」で検索し、「今すぐインストール」を押します。

しばらくしてインストールが終わると「有効化」ボタンに変わるので、有効化しましょう。

これだけでインストール完了です。

初期設定

管理画面のメニューの下の方に、「セキュリティ」という名前のメニューが表示されますので、それを押すと初期設定が始まります。

サイトタイプ

最初はウェブサイトの種類を選ぶように言われます。

ここではBlogを選択します。

何が変わるのかわからん

次に、だれのサイトか聞かれます。

俺のサイトだとプログラムにイキりつつ、ここではSELFを選びます。

次はパスワードポリシーの設定です。

強いパスワードをユーザーに強制するか選びます。

ぶっちゃけ自分しか使わないならオフでもいいと思います。

機能設定

ログインセキュリティ

ログイン周りのセキュリティ設定です。

このままで良いと思います。

正直、私は2段階認証は別のプラグインを使っているため、iThemes Securityの設定は使っていません。

ちなみに使っているのはこれです

ユーザーグループ

続いてはユーザーグループ設定です。

DEFAULTで良いです。

次の画面に進むと、WordPressの権限ごとに色々書き換えることができます。

脳死でNext連打で良いです。

設定

お次は設定の画面です。今までの設定も設定ですが設定をしていきます。

RECOMMENDEDを押します。

全体設定

全体設定はこんな感じの画面です。

このままNext。

ロックアウト

悪意のあるユーザーがサイトにログインできなくなるようにする設定です。

メールアドレスを入れることで、世界で報告された「攻撃元IPアドレス」を取得し、自動でブロックしてくれるようになります。

私の場合、メールアドレスだけ入力しています。

通知

通知設定です。

必ず誰かが通知メールをONにしなければなりません。

どちらかを選択して、Continueをクリック。

Secure Site

いよいよ最後のステップになります。

この画面でSecure Siteを押します。

全項目にチェックマークがついたら、Finishボタンに変わるので、それを押します。

この画面になったら初期設定は終わりです。お疲れ様でした！

おすすめ設定

ここからは、私の個人的なおすすめ設定を紹介します。

先程の画面で「設定」ボタンを押しましょう。

面倒かもしれませんが、こうすることであなたの大切なサイトのセキュリティをより強力にできます。

いずれも、変更の保存を忘れないでくださいね。

SSL設定

「Enforce SSL」は、SSL通信を強制してくれます。

管理バーのセキュリティメニュー

邪魔なので非表示にしちゃいましょう。

デフォルトBanリスト

すでに危険と報告されているIPアドレスをBanできます。

“admin”ログインの自動Ban

ユーザー名を「admin」にしてログインしようとするユーザーを一発でロックアウトする機能です。

API周りの設定

ここからは、左メニューの「高度な設定」から行える設定です。

普通にWordPressを使うだけなら、「Disable XML-RPC」で問題ないです。

また、REST APIも「Restricted Access」に変えておきます。

ユーザーアーカイブ無効

投稿数が0のユーザーの投稿一覧を無効にし、「404」を返す設定です。

バックエンドの非表示

ログインURLを変えられる設定です。

セキュリティプラグインといえばこれ。

設定画面はこんな感じです。

画像の場合、ログインURLが「https​://サイトURL/mycustomloginurl」になります。

メモするなりブックマークしておくなりしましょう。

まとめ

この記事を参考にしながら、みなさんのサイトも是非強くしてみてください！

それでは