サイトを守る設定を始める前に読むページです。必要な対策の選び方と、変更後に確かめることを説明します。
こんなときに使います
たとえば：不正なログインが気になるが、どの設定から確認するかわからない。
使っているログイン方法や外部アプリを先に整理し、必要な対策を選びます。
人の操作か、自動プログラムかを確認する
使っていない入口を閉じることを検討する
必要な人やアプリまで止めていないか確かめる
このページでわかること
セキュリティとは、知らない人にサイトを勝手に操作されたり、迷惑な書き込みをされたりするのを防ぐことです。家の戸締まりと同じように、サイトにも入口ごとの対策が必要です。
ただし、すべての設定をオンにすればよいわけではありません。使っているアプリやフォームまで止めてしまうことがあるため、必要なものを1つずつ設定します。
まずは、この2つを知りましょう
Turnstile：自動で何度も送信するプログラムを見分ける
Turnstile（ターンスタイル）は、Cloudflareという会社のサービスです。ログイン画面などで、操作しているのが人か、自動で動くプログラムかを確認します。この自動プログラムを「ボット」と呼びます。OptiBでは、設定画面に表示される対応フォームを選んで保護します。すべてのお問い合わせフォームに自動で対応するわけではありません。
XML-RPC：外部アプリから入るための入口を管理する
XML-RPC（エックスエムエル・アールピーシー）は、外部の投稿アプリなどがWordPressを操作するための通信方法です。使っていない入口は閉じられますが、必要なアプリが使えなくなることもあります。Jetpackなど、連携しているサービスを先に確認してください。
設定を始める順番
- 今の設定画面を画像で保存するか、設定値をメモします。記事や設定を戻せるよう、バックアップも用意します。
- 使っている投稿アプリ、会員登録、ネットショップ、ログイン方法を書き出します。
- このページ下の関連記事から、必要な機能のマニュアルを開きます。
- 1つの設定だけ変更して保存します。一度に複数を変えないでください。
- 管理画面は開いたままにし、別のブラウザやシークレットウィンドウでログインやフォーム送信を試します。
どの設定を選べばよい？
- 迷惑なログイン操作が気になる：Turnstileやログイン失敗時の制限を確認します。
- 外部の投稿アプリを使っている：XML-RPCを使うアプリか調べます。必要な場合は入口を完全に閉じません。
- 外部アプリを使っていない：XML-RPCを無効にできるか、ほかの連携も含めて確認します。
- ネットショップや会員サイト：管理者だけでなく、お客様のログインや登録も必ず試します。
設定したあとは、ここを確認
自分と利用者がログインできること、必要なフォームを送信できること、連携アプリが動くことを確認できれば、この段階の確認は完了です。これらの設定だけで、あらゆる攻撃を防げるわけではありません。WordPressやプラグインの更新、強いパスワード、定期的なバックアップも続けましょう。
うまく動かなくなったら
- 設定変更の直後に問題が起きた：開いたままの管理画面から、最後に変えた設定を元へ戻します。
- 外部アプリだけつながらない：XML-RPCの変更と、アプリが使う通信方法を確認します。
- ログインできず設定を戻せない：エラー画面と変更内容を控え、サイトの管理担当者へ相談します。よくわからないままテーマやサーバーのファイルを削除しないでください。
- 同じ対策のプラグインを使っている：機能が重なっていないか確認します。対策をすべて止めるのではなく、変更した箇所から調べます。