【動画】XO Securityの設定方法をチョ～分かりやすく解説！

ログインに挑戦できる回数を制限します。人間やロボットの総当たり攻撃による不正ログインのリスクを軽減します。

【不要になるプラグイン】Limit Login Attempts Reloaded

画像を認証しないとログインできないようにします。ひらがなを突破できるロボットは少ないので、この機能だけでも重宝します。

【不要になるプラグイン】Simple Login Captcha

独自のログインURLを作成することで、ログインページへ到達できないようにします。

【不要になるプラグイン】WPS Hide Login

ログインに必要なユーザー名(ログインID)を非公開にすることで、不正に取得されるのを防ぎます。

【不要になるプラグイン】Edit Author Slug

画像認証などを組み合わせることでスパムコメントを防ぐことができます。

【不要になるプラグイン】Akismet

ログインに挑戦できる回数を制限する設定です。例えば、12時間に3回までリトライするに設定すると、3回以上ログインに失敗したら12時間ログインできなくなります。慣れるまでは1時間など、短い時間に設定するのがおススメです。

ログインをブロックした際に、その旨を表示する時間の設定です。長ければ長いほどセキュリティ強化に繋がるので、「120秒」にしておくと安心です。

ログインに失敗した際、その旨を表示する時間の設定です。上述の理由で、最大時間の「10秒」に設定しておきましょう。

デフォルトと異なるログインページURLを生成することができます。入り口を分からなくするセキュリティ対策ですので、非常に強力なバリアとなります。注意点として、ログインページのURLは必ずブックマーク等で控えておきましょう。自分自身がログインできなくなる恐れがありますので（笑）

てっちゃん

万が一の場合は、ログインできなくなった場合の対処法をご確認ください！

ログイン時に使用できる「ID」の種類を選択できます。デフォルトでは「メールアドレス」と「ユーザー名」のいずかを使用することができます。セキュリティを高めるには「ユーザー名のみ」にしておきましょう。

ログインに失敗した時のメッセージ表示を変更する設定です。デフォルトの状態でログインに失敗すると、「ID」と「パスワード」のどちらが間違っているのか表示されます。この設定を「簡素化」することで、ログインに失敗した理由を隠すことができます。

ログインの画像認証についての設定です。有効化するとログイン画面が以下のように変化します。

CAPTCHAは「ひらがな」にするのがおススメです。ログインを突破しようとするロボットのほとんどが、外国製で日本語に対応していないからです。

パスワードを忘れた際の再設定をどうするか決めることができます。「無効」にすると、パスワードの再設定ができなくなりますが、セキュリティは高まります。ですが、パスワードを紛失した際には、ログインできなくなるので「有効」にしておく方が安心です。

ログイン画面から、サイトのトップページへのアクセスを許可するかどうかの設定です。ほぼセキュリティ強化に繋がらないので、「有効」「無効」のどちらでも大丈夫です。

WordPressにログインがあった際に通知を受け取るかの設定です。有効にするとログインする度に通知が来ます。とはいえ、仮に第三者がログインしてしまえばその時点でアウトなので…。この設定は「OFF」で問題ないです。

コメントフォームに画像認証を追加します。

スパムを防ぐには「ひらがな」が一番効果的です。

日本語が入ってないコメントを拒否する設定です。有効にすると海外製ロボットのスパムコメントを防ぐことができます。海外からのコメントを求めるサイト以外は、有効にしておきましょう。

スパムに登録したユーザーからのコメントをどうするかの設定です。

スパムとして登録する場合は、「コメント」→「スパム」からできます。

スパムに登録したコメントの対応です。受け取る必要はないので、デフォルトの「ブロックする」にしておきましょう。

ログインフォームに「私はロボットではありません」というチェックボックスを追加できます。

コメントするにはチェックを必要とするので、セキュリティを高める効果はあります。ですが、上述したCAPTCHAでも同様に人間とロボットの判別ができるので「OFF」でも問題ありません。

てっちゃん

ユーザービリティも下がりますので！

上述した通りXML-RPCが悪用されると「ブルートフォースアタック(総当たり攻撃)」などのリスクがあるので、無効化しておくのがおススメです。

ただし、一部のプラグインが動かなくなってしまう可能性もあります。動作がおかしい場合はOFFにしておきましょう。

ピンバックとは、自分のサイトURLが貼り付けられた場合に通知してくれる機能です。これが悪用されると、大量にピンバックを送りつけられる「DDoS攻撃(負荷攻撃)」のリスクがあります。

負荷がかかり過ぎるとサイトがダウンしますので、こちらも無効化しておきましょう。

REST APIの正しい箇所を無効化することで、ログインに必要な「ユーザー名」を非公開にすることができます。

てっちゃん

上間違った箇所を無効化すると、プラグインが動作しなくなる可能性があるのでご注意ください！

REST API URLを変更できます。使用しない部分ですのでOFFで問題ありません。

投稿者スラッグ(URL)を変更することができます。デフォルトだと、ログインに使用する「ユーザー名」が表示されているので、侵入されるリスクがあります。

ユーザー名と別のスラッグにできるのが、投稿者スラッグの編集です。

てっちゃん

具体的な編集方法は以下のとおり！

著者一覧ページへのアクセスを制限する設定です。好みの設定となりますが、投稿者ごとの一覧ページを表示させたい場合は、画像のように「OFF」に。少しでもセキュリティを高めたいなら「有効」にしておきましょう。

てっちゃん

前項の設定をしていればどちらでもOK！
このサイトではOFFにしています！

コメント投稿者に含まれるユーザー名を削除する設定です。

こちらもユーザー名を削除する設定です。URLを入力した際に表示されるユーザー名を削除することができます。

RSSフィードフィードとは、記事を更新した際に読者に通知が行く仕組みのことです。これを悪用すれば記事の内容を全てパクったサイトを作られてしまう恐れがあります。

この設定を「有効」にするのが対策になりますが、それでは読者に通知が行かなくなります。

なので、「OFF」に設定するのがおススメです。

てっちゃん

OFFの場合は以下のように設定してください！

WordPressのバージョン情報を見られないようにする設定です。古いバージョンを使っている場合、脆弱性を狙われるリスクがあるので、必ずこの設定は「有効」にしておきましょう。