駆け出しデザイナー・エンジニアにこそ見ていただきたいWordPressの脆弱性とセキュリティ - Qiita
WordPressは世界で1番使用されているCMSかつオープンソースであるが故に、悪意のある第三者やプログラムから世界で1番攻撃されやすいCMSと言われています。 私自身も何度か攻撃を受けていて、実害に及ばなかったものから及んだものまで様々でした。クライアントの稼働しているWEBサイトに実害があった場合は、原因究明や報告、一次対応から恒久的対策までを行い、安全性を確保した上で再度稼働させる必要があり、その作業は簡単なものではありません。 被害があるのはクライアントだけではなく、そのサイトにアクセスしたユーザーに及びます。たとえ納品後の保守契約を結んでいなかったとしても、実装者の責任としてクライアント、ユーザーに安心して利用できるWEBサイトを目指さなければいけません。 私はセキュリティの専門家ではないもののWordPressを10年以上触っている中で様々な問題に当たり、対応してきました。そ
WordPress でSFTP接続する方法 - by Takumi Hirashima
WordPress でSFTP接続する方法を紹介します。 SFTPの関係で管理画面からプラグインのアップデートが行えない時に便利な方法です。 プラグイン SSH SFTP Updater Support をダウンロード プラグインをサーバーにアップロード プラグインを有効化 wp-config.php にコードを追加 接続情報を更新 プラグイン SSH SFTP Updater Support をダウンロード SFTPの関係で管理画面からプラグインのアップデートが行えない場合、プラグイン SSH SFTP Updater Support を利用することで、管理画面ないから SFTP 接続を行うことができます。 まずは SSH SFTP Updater Support をサイトからダウンロードします。 プラグインをサーバーにアップロード ダウンロードしたプラグインのファイルをFTPクライアン
WordPress 固定ページにベーシック認証を設定する方法 - by Takumi Hirashima
WordPress で特定の固定ページにベーシック（BASIC）認証を設定する方法を紹介します。 例えば、会員向けの特典ページなどで、IDパスワードを知っている特定のユーザーに見せたいページを作る時に便利な方法です。 ここで紹介する方法は、固定ページにベーシック認証を設定することを前提に説明しています。 コードを二箇所に追加 function.php にコードを追加 header.php にコードを追加 コードを二箇所に追加 特定のページにベーシック認証を設定するには、コードを function.php と header.php の二箇所に追加するだけで実装が可能です。 function.php にコードを追加 まずは function.php に次のコードを追加します。 /*【ベーシック認証】特定ページにベーシック認証を設定する */ function basic_auth($auth_
WordPressのセキュリティ対策！プログラミングの知識不要の対策をまとめてみた | 株式会社LIG(リグ)｜DX支援・システム開発・Web制作
こんにちは。Webディレクターのなべちゃんです。 LIGではサイト制作のうちの多くをWordPress（以下：ワードプレス）を使用して構築しています。また、皆さんのなかには企業のコーポレートサイトだけではなく、個人のブログでもワードプレスを使って運用しているよ、という方も多いのではないでしょうか。 かなり多くのユーザーに使われているワードプレスですが、「セキュリティの問題が不安で……」という方も多くいると思います。今回は、プログラミングの知識不要で、ディレクターでも、趣味でブログを運営している方でも簡単に設定できるセキュリティの対策をまとめてみました。 そもそもなぜワードプレスが狙われやすいのか 「ワードプレスはセキュリティがなぁ……」と良く言われると思います。 そもそも、なぜワードプレスが狙われやすいのか。それはLIGもあなたも使おうとしているほど、「多くのユーザーが使っているから」なの
WordPressが改竄された時の復旧方法と絶対に改竄されない対策
どういうハッキングをされるのか？ さて、本題です。ここ10年ちょっとWordPress専門で仕事をしていますが、自分が遭遇したり知り合いが遭遇したケースは「サーバー内のファイルが書き換えられて、アクセスすると他のサイトにリダイレクトされる」というケースです。 サーバーのファイルを見てみると概ね以下の症状になります WordPressをインストールした各ディレクトリのindex.phpなど、phpファイルの文頭に怪しげなコードを書き込まれているwp-content/uploads/ の中には通常画像ファイルなどばかりのはずが、見に覚えのないファイルを大量に置かれる通常の投稿内にいろいろ投稿される（このケースは近年は自分や周りでは遭遇していない） これらのファイルは全部キレイに駆除しない限り、該当部分を削除したり、該当ファイルを削除しても残っているファイルから再度改竄してくるので面倒です。 復
Webサイトのフォームで悪用被害急増中！加害者にならないためのフォーム設置講座 | さくらのホームページ教室
Webサイトのフォームで悪用被害急増中！加害者にならないためのフォーム設置講座 商用のWebサイトでは欠かすことのできない「お問い合わせフォーム」。顧客との重要な接点ですので設置しているWebサイトは多いはず。今、そんなお問い合わせフォームが狙われています。「え、WordPressプラグイン最新にしてればいいんじゃないの？」と思われるかもしれませんが、今回は違いますよ！ 急増しているお問い合わせフォーム攻撃の手口 昨今、Webサイトのお問い合わせフォームを狙った大量メール送信攻撃が急増しています。手口は非常に古典的で、フォームから問い合わせをした際に送信される「お問い合わせありがとうございました」メールを悪用します。 お問い合わせした人のメールアドレス欄に、スパムメールを送りたいメールアドレスを入力お問い合わせ内容にフィッシングサイトや広告のリンクを入力送信ボタンをクリックお問い合わせあり
WordPressで最初から入れておくとよいプラグイン - Qiita
久々にWordPressでサイトを構築したのですが、その際に最初から導入したプラグインを紹介します。 フォームを作る Contact Form 7 お問合わせフォームを簡単に作れる Contact Form 7 Conditional Fields Contact Formの入力項目の値によって関連する項目の表示・非表示を切り替える Contact Form 7 Serial Numbers Contact Formの入力内容をメールで送信する際に、タイトルや本文などに連番やタイムスタンプを挿入する Flamingo Contact Formのメール送信に失敗したときに備えて、データベースにも同じ内容を格納する 画像関連 WP Offload Media Lite デフォルトでは画像はWebサーバの中にそのまま置かれるが、これをクラウドストレージなどにオフロードできる。例えばS3に保存して
WordPressのテーマカスタマイザーでラジオボタンを使う方法
今の状態で「外観」→「カスタマイズ」を開いて頂くと、「レイアウト」という項目が追加されているのが分かると思います。 「レイアウト」という項目を選んでも、今は中身はない状態です。 それでは、これからその中身を追加していきたいと思います。 サニタイズ関数を設定する 「レイアウト」項目に中身を作っていく下準備として、まずはラジオボタンを使うためのサニタイズ関数を設定します。 サニタイズとは？ サニタイズとは入力された値を無害化することで、たとえばテーマカスタマイザーのテキスト入力欄にhtmlやPHPのソースを入力された場合に、それらの文字列をそのままWordPressテーマに反映してしまうと表示が崩れたり、予期せぬ事故が起きてしまいます。 テーマカスタマイザーを使用する人が悪意を持ってそういったソースを入力することはないとは思いますが、それでもミスなどによってウェブサイトに悪影響を及ぼす内容を入
【企業サイト構築用】WordPress設計ガイドライン - Qiita
備忘録を兼ねて、企業サイト構築時に決めている設計方針・インストールしているプラグイン・セキュリティ対策をそれぞれまとめました。セキュリティ対策の項目を除き、構築時の細かい設定やプログラム実装についての説明は省略しています。 （※）2018.01.13: セキュリティ対策について加筆・修正を行いました 概要 実装する際の方針として、WordPressと紐付ける必要のないファイルは、できるだけWordPressのファイル・フォルダと分けて構築する手法を採択しています。これはサイト全体をWordPress依存にさせたくない、ということが大きな理由です。 また、関係ないファイルをWordPress内で管理させることによって、お客様やHTMLに詳しくない編集者が不用意にファイルを更新してしまうことを防ぐ意味もあります。8年以上WordPressと付き合ってきましたが、以下の設計方針が最も最適だと考え
最新版！WordPressのブログやサイトの運営に役立つプラグインのまとめ
WordPressのデザイン、記事の投稿、コンテンツ配信、検索エンジン最適化、メンテナンス、バックアップ、セキュリティ、パフォーマンス、アンケート、ショッピング機能など、ブログやサイトの運営に役立つWordPressのプラグインを紹介します。 WordPress Plugins We Use プラグインは、海外のWeb制作系ブログ「CSS-Tricks」で実際に利用されている厳選プラグインで、それをなぜどのように使用しているのか非常に参考になりました。 CAPTCHAはコメントではなく、管理画面のログインに使用しているとか、なるほどと思いました。 下記は各ポイントを意訳したものです。 ※当ブログでの翻訳記事は、元サイト様に許可を得て翻訳しています。 コンテンツ配信 検索エンジン最適化 メンテナンスとセキュリティ パフォーマンス デザインと記事の編集 パーミッションとモデレーション 販売 使
CMSmap·WordPress/Drupal/Joolma対応のセキュリティチェッカー MOONGIFT
WordPressやDrupal、Joomlaは世界的にも圧倒的にシェアの高い3大CMSと言えるでしょう。そんなシェアの高いCMSではセキュリティホールも世界中に知られており、弱いプラグインなどはあっという間に狙われてハッキングの被害に遭います。 そんなセキュリティリスクを低減できるツールがCMSmapです。CMSmapを使ってセキュリティチェックを行っておくのがお勧めです。 CMSmapの使い方 CMSmapはURLを渡すだけで使えます。 $ python cmsmap.py -t http://localhost/wordpress/ [-] Date & Time: 03/08/2015 15:47:59 [-] Target: http://localhost/wordpress [M] Website Not in HTTPS: http://localhost/wordpres
WordPressでしっかり設定しておきたいセキュリティやメンテナンスに役立つ.htaccessのまとめ
WordPressでブログやサイトを運営する前、そして運営している時にしっかり設定しておきたいWordPressのセキュリティやメンテナンスに役立つ.htaccessの設定を紹介します。 .htaccessファイルを守る 最初に行うことは、.htaccessをあなた以外の無許可のアクセスから守ることです。下記のスニペットは第三者があなたの.htaccessファイルにアクセスするのを阻止します。 ルートの「.htaccess」に下記を記述します。 <files ~ "^.*\.([Hh][Tt][Aa])"> order allow,deny deny from all satisfy all </files> wp-config.phpファイルを守る WordPressでもう一つ重要なファイルがあります、それはwp-config.phpです。
WordPressの制作・公開・運用・セキュリティなどに関する重要なチェック項目のまとめ
WordPressの制作の準備、制作、公開、SEOやセキュリティやメンテナンスなど運用における、WordPressでサイトやブログを運営する際の大切なポイントをまとめたチェックリストを紹介します。 Killer WordPress Checklist: 101+ easy steps to launch your next website! 下記は各ポイントを意訳したものです。 ※当ブログでの翻訳記事は、元サイト様に許可を得て翻訳しています。 チェックリストはインフォグラフィックにもなっており、元ページでダウンロードできます。 インフォグラフィックの一部 はじめに WordPressの制作準備時のチェックリスト WordPressの制作時のチェックリスト WordPressの公開時のチェックリスト WordPessのSEOのチェックリスト WordPessのセキュリティのチェックリスト W
WordPressの不正ログインに効果あり！管理画面のログイン時のURL(wp-login.php)を簡単に変更できるプラグイン -Login rebuilder
WordPressの管理画面へのログイン時のURL(wp-login.php)を簡単に変更できる国産プラグインを紹介します。 管理画面に総当たり攻撃をされて困っている人は是非お試しください。 当ブログはこのプラグインを使用して解決しました、作者様に感謝！ Login rebuilder -Plugin Directory Login rebuilder公式ページ（日本語） Login rebuilderのインストール Login rebuilderの設定 Login rebuilderのインストール WordPress公式のPlugin Directoryから通常のプラグインと同様にインストールできます。 管理画面の「プラグイン」から「新規追加」を選択。 「プラグインの検索」に「Login rebuilder」を入力して検索。 「Login rebuilder」の「いますぐインストール」を
WordPressでブログを開設して3ヶ月目の人にオススメしたい便利なプラグイン12選 | 株式会社LIG
こんにちは、メディア事業部のエリーです。 3年目の浮気、石の上にも3年と言いますが、ブログで言うと“3ヶ月”がターニングポイントになるんじゃないかと、わたしは思っています。 ブログを書くのにも慣れ、だんだんアクセスが増えてきたころ、「意外に読まれてるなあ」と思うと同時に、「そんなに一気には読まれないんだなあ」と現実にショックを受けるのではないでしょうか。 ということで、今回は、WordPress専用超高速サーバー「Z.com byGMO」さんに、3ヶ月目を迎えたブロガーが抱えるありがちな悩みと、それを解決するプラグインをお聞きしました。 3ヶ月目には入れておきたいプラグイン12選 WordPressでブログを始めたものの、プラグインをそこまで使いこなせてないし、「どれが良いのか分からない！」という人におすすめな12選です。 目次 スパムコメントやトラックバックを防ぐ「Akismet」 セキ
【セキュリティ向上】WordPress の .htaccess に追加して安全性を高めます！
安全性を高めたい、セキュリティを強化したいですの！そこで、今回 .htaccess ファイルに改善の余地ありということに気が付きましたので実践いたします♪ WordPress の .htaccess の追加部分ポイント 次を冒頭に追加しました。 <FilesMatch "^(wp-config\.php|wp-mail\.php|install\.php)"> Order Allow,Deny Deny from all </FilesMatch> FilesMatch 部分の “^(wp-config\.php|wp-mail\.php|install\.php)” を整理します。 ^ 行頭を意味します。 () 囲った範囲をグループ化します。 \ エスケープ文字を意味します。 | 区切られた前後の正規表現のいずれかに一致します。 以上により、http://example.com の後に「
[簡易版]wordpressセキュリティ強化のための.htaccess設定例
本記事では紹介していませんが、IPアドレスを指定して、それ以外のIPアドレスを遮断する設定とかもあります。IPアドレスが絡んでくると記事が長くなるので、とりあえず簡単に運用できるものだけ書いてます。 さらに詳しい内容は、上記の[WordPress Codex 日本語版]を参考にしてください。 また、別記事wordpress(wp-login/admin.php)にBasic認証をかける方法[補足でcoreserver(コアサーバー)]にて、wp-login.phpとadmin.phpにBasic認証で簡易ロックをかける方法も書いていますので、参考にしてみてください。 下記のコードを[.htaccess]ファイルに追記して不具合(更新できないとか、画像がアップロードできないとか)が生じた場合には、コードを削除してください。 ですが、下記のコードは必要最低限のセキュリティを守る内容なので、でき
![[簡易版]wordpressセキュリティ強化のための.htaccess設定例](https://cdn-ak-scissors.b.st-hatena.com/image/square/02ba9fc7f14c6186d3523389d394d3b417d8fa70/height=288;version=1;width=512/https%3A%2F%2Fi0.wp.com%2Fwww.amelt.net%2Fwp-content%2Fuploads%2Fweb_wordpress-logo-hoz-rgb.jpg%3Ffit%3D500%252C113%26ssl%3D1){kind=logo}
Wordpressへのアクセス解析とIP別アクセス禁止 | 文造ネット
WordPressで作成されるサイトが増えてきている中、サイトの乗っ取り目的とした不正アクセスも増えています。 レンタルサーバー会社ごとに様々なSecurity対策を行っていますが、中には有料だったりしますので、自前でできるSecurity対策プラグインをご紹介します。 【重要】Security関連のPlug-inのご利用に関して 複数のSecurity対策Plug-inを多少しない。（干渉して機能しなかったり、データベースを破損させる可能性もあります。） バックアップを取ってからインストールする事（アンインストール時に元通りに復旧できない事もあります） ログイン履歴「Crazy Bone」 ユーザー名、ログイン時、IPアドレス、ブラウザのユーザエージェントを追跡します。 誰がログインしたのか記録します。サイト乗っ取りの為に繰り返しIDやパスワードを変えてログインを試みるアクセスの記録が残
スパムコメント退治に効く！アクセス禁止に使うIPアドレスの簡単技！
ブログを運営していると、毎日大量に書き込まれるスパムコメントにウンザリすると思います。一生懸命IPアドレスを大量に登録してアクセスを禁止にしても、いつの間にかまた書き込まれてしまうのでほとほと困ります。しかしそんな時に使える、簡単に関連するIPアドレスを一網打尽にしてしまう、IPアドレスの効果的な書き方があります！ 個別にIPアドレスをアクセス禁止にしても効果は薄い 例えばこれがある日のスパムコメントが書き込まれたIPアドレスだったとします。 これらをアクセス禁止にしたい場合、通常はこのまま.htaccessやスパムコメント対策プラグインに登録しますが、結局また書き込まれてしまうのがオチですよね？どうにかしたいものですが…… しかしよく見ると、これらのIPアドレスがある程度似ていると思いませんか？ そうです！これらのアドレスは、ある決まった範囲からランダムにアドレスを使って書き込まれている
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
dFactory - Quality plugins for WordPress