共用WebサーバでWordPressを利用したい場合

概略

WordPressはCMS(Contents Management System)の一つです。 Webサイトの更新が手軽にできる反面、脆弱性が頻繁に発見されているため、 WordPressを利用した場合には、常に最新版に維持する心構えが必要です。

WordPress を利用する場合の設定

管理画面にアクセスできない

管理画面が自動転送され続けてエラーになる場合、wp-config.phpに以下を追記してください。


define('FORCE_SSL_ADMIN', false);

WordPressの配置によっては、wp-config.phpに以下のような設定を書かないといけない場合もあります。
（これらの値は、WordPressのインストール方法によって変更が必要な場合があります。）


define('WP_SITEURL', 'http://yyyy.xxxx.ibaraki.ac.jp');
define('WP_HOME', 'http://yyyy.xxxx.ibaraki.ac.jp');

管理画面の表示が崩れる場合は、下に記載の SSL Insecure Content Fixerを入れる必要があります。

管理画面にはアクセス制限をかける

WordPressの管理画面は、基本的に学内からのみアクセス可能とし、全世界からアクセスできるようにはしないでください。業者に保守を依頼しているなど、止むを得ず学外から管理画面にアクセスする必要がある場合には、接続元IPアドレスをなるべく狭く許可するようにしてください。

自動アップデートやプラグインのダウンロードができるように以下の設定を加える

wp-config.php に以下の記述を追加しないと、Wordpressの管理画面からのインストール、自動アップデート、更新が行えません。業者に構築を依頼する場合にも、必ずこの記述を入れてもらってください。


define('FS_METHOD','direct');

以下のプラグインを必ず入れる

SSL Insecure Content Fixer: https://ja.wordpress.org/plugins/ssl-insecure-content-fixer/
WordPressが動的に生成するリンクのパスにHTTPSとHTTPが混在してしまうため、プラグインを使って強制的に HTTPSに揃える必要があります。
SiteGuard WP Plugin: https://www.jp-secure.com/siteguard_wp_plugin/
ログインページや管理画面に関するセキュリティ対策を簡単に行えるプラグインです。
WordPressへのログイン履歴を記録するもの: WordPressの標準機能では、誰がいつどこからログインしたかの情報が記録されません。

xmlrpc.phpを無効化する

xmlrpc.php は、WordPressを遠隔操作するためのエンドポイントで、長年、攻撃対象になってきました。現在のWordPressでは、多くのサイトで xmlrpc.php は不要です。使用していないのであれば .htaccessアクセスを無効化してください。（削除しても、アップデートで復活してしまう）

<Files "xmlrpc.php">
    Require all denied
</Files>