CloudSecure WP Securityの特徴と機能を解説

WordPressは世界中で最も使われているCMSです。
それゆえに攻撃のターゲットにもなりやすく、特に初期設定のまま運用しているサイトは深刻な被害を受けやすい状態にあります。

そんなWordPressのセキュリティ対策に有効なのが、日本製の無料プラグイン「CloudSecure WP Security（クラウドセキュア）」です。

そこで、この記事では、CloudSecure WP Securityの特徴・機能・導入時の注意点などを詳しく紹介します。
WordPressのセキュリティを強化したい方、自社サイトが心配な方はぜひ参考にしてください。

なぜWordPressのセキュリティ対策が必要なのか？

WordPressは、世界中のWebサイトの4割以上で使われているCMSです。
シェアが大きいということは、それだけ攻撃のターゲットにもなりやすいのがデメリットとも言われています。

また、WordPressは初心者の方も多く利用されており、正直、セキュリティに対する対策が甘い方も非常に多いです。

そのため、サイトの規模にかかわらず、WordPressには以下のような攻撃が日々行われています。

そして、対策をしないまま運用を続けると、このような被害につながります。

• サイトの改ざん（ページの内容を勝手に書き換えられる）
• 悪質サイトへの強制転送（訪問者がウイルスサイトや詐欺サイトに飛ばされる）
• 個人情報・顧客データの漏洩（問い合わせや会員のデータが盗まれる）
• サイバー攻撃の踏み台化（自身のサイトから大量のスパムメールが送信される）
• Google検索からの除外（危険なサイトと判定され、検索結果に表示されなくなる）
• サイトデータの破壊・全消去（記事や構築データがすべて消される）

その結果、WordPressの運営者は以下のような損害を受ける可能性も出てきます。

• サーバーの強制停止（他のサイトへ迷惑をかけるため）
• 高額な復旧費用（自力で直せない場合、専門業者への原因調査や復旧で数十万円以上のコストがかかる）
• 復旧までの業務停止（安全が完全に確認できるまでサイトを非公開）
• 機会損失（サイトを公開できない期間は収益を得られなくなる）
• 膨大な事後対応（原因の究明、顧客への謝罪や報告、問い合わせ対応などに組織の多くのリソースが奪われる）

また、WordPressのセキュリティ対策を怠って被害を出した場合、法的・実務的に損害賠償が発生する可能性もあります。

そのため、まだ何もセキュリティ対策を取っていないという方は、早めに何らかの対策を行った方がいいです。

CloudSecure WP Securityとは

CloudSecure WP Securityは、不正ログインや不正アクセスからWordPressサイトを保護する、国産の無料セキュリティ対策プラグインです。
WordPress公式プラグインディレクトリで無料配布されており、誰でも使用することができます。

例えば、以下のような攻撃に対して有効です。

機能はそれぞれON/OFFで個別に切り替えられるので、CloudSecure WP Securityでは必要なものだけ有効化して使えます。

WordPressのセキュリティ対策が初めての方でも、画面の指示に従って設定を進めるだけで導入できます。
そのため、初心者でも使いやすいのがCloudSecure WP Securityの特徴です。

なぜCloudSecure WP Securityがおすすめなのか？

WordPress向けのセキュリティプラグインは非常に多いです。
検索していただければわかりますが、驚くほど多くのプラグインが公開されています。

その中で、CloudSecure WP Securityをおすすめする理由は次の4点です。

国産プラグインで日本語で使える

セキュリティ対策プラグインは海外製のものが多く、管理画面や説明文が英語のままというものも多いです。

セキュリティ対策プラグインは機能が複雑なものが多く、設定ミスがサイト全体の機能停止につながることもあります。
そのため、国産プラグインという点はCloudSecure WP Securityの大きなメリットになります。

無料で十分な機能が使える

セキュリティ対策プラグインの中には、基本機能だけ無料で公開し、本格的な対策には有料ライセンスが必要なものもあります。

CloudSecure WP Securityは、課金なしで主要なセキュリティ対策機能が一通りそろっています。
ログインURL変更、2段階認証設定・画像認証、管理画面アクセス制限など、多くの機能が無料で使えます。

ON/OFFを切り替えるだけで簡単に設定できる

セキュリティ対策プラグインの中には、設定項目が細かすぎて、専門知識がないと適切に設定できないものもあります。
私自身多くのプラグインを触ってきましたが、セキュリティ対策プラグインは本当に複雑です。

ですが、CloudSecure WP Securityは、各機能をシンプルにON/OFFで切り替えるだけで対策が有効になります。
例えば、「ログイン無効化」という機能であれば、このような感じで簡単に設定を切り替えられます。

非常にシンプルに作られているため、複雑な設定なしで必要な機能を簡単に有効化できます。

必要な機能に絞ったシンプル構成

WordPressサイトの主な侵入経路は、

1. ログインフォーム
2. 管理画面
3. コメント欄

の3つです。

CloudSecure WP Securityはこの3つに的を絞った機能構成なので、機能を詰め込みすぎてサイトの動作が重くなることがありません。

CloudSecure WP Securityはどんな人に必要？

CloudSecure WP Securityは、すべてのWordPress運営者におすすめしたいプラグインです。
ですが、特にこのような方は導入を検討していただきたいです。

1つでも当てはまるなら、CloudSecure WP Securityの導入を検討してみてください。
特にログインURLが初期設定のままの方は、攻撃を受けるリスクが高いので、早めの対策をおすすめします。

CloudSecure WP Securityでできるセキュリティ対策

CloudSecure WP Securityでは、インストール後に専用の管理画面が用意されます。
その画面上では、設定できる内容に応じて、

1. ログイン保護
2. 公開情報の制限
3. 管理画面・システム保護
4. 通知・ログイン履歴

の4つのカテゴリに分けられています。

1. ログイン保護

WordPressへの攻撃で最も多いものの一つが、ログインフォームへの不正アクセス試行です。
CloudSecure WP Securityでは、以下の機能が用意されています。

2. 公開情報の制限

「公開情報の制限」では、外部から悪用されやすいAPIへの対策も可能です。

3. 管理画面・システム保護

WordPress管理画面へのアクセス制限や、攻撃パターンそのものへの対策機能もあります。

ちなみに、シンプルWAFの設定画面がこちらです。

SQLインジェクション・クロスサイトスクリプティング以外にも、OSコマンドインジェクション、コードインジェクション、メールヘッダインジェクションへの対策も行えます。

また、検知された攻撃に関しては、以下の画面のように履歴が残されます。

IPアドレスも残されているので、この画面上で確認できたものに関してはプラグインや.htaccessなどを使って個別にブロックすることもできます。

4. 通知・ログイン履歴

万が一に備えて、ログインやアップデートなど3つの通知機能が用意されています。

また、ログイン履歴を確認できる画面も用意されています。

ログイン履歴画面では、「ログイン判定」という項目に「成功」「失敗」が記載されています。
「失敗」となっている場合は、ほとんどが不正にログインを試みた形跡なので、該当IPアドレスをブロックするという手を打つこともできます。

CloudSecure WP Securityを導入する前に知っておきたいこと

CloudSecure WP Securityは、便利なプラグインですが、導入前に知っておくべき注意点もあります。

ログインURL変更後のURLは必ず控えておく

変更後のURLは、設定時に必ずメモを取って厳重に保管してください。
万が一忘れてしまうと、サーバーにFTPで接続して.htaccessファイルを確認するなど、復旧に専門知識が必要になります。

Apacheサーバー＋mod_rewriteが必要な機能がある

「管理画面アクセス制限」「ログインURL変更」「XML-RPC無効化」などの機能は、Apacheサーバー＋mod_rewriteが有効な環境でのみ動作します。

多くの国内レンタルサーバーはこの条件を満たしています。
ですが、一部のサーバーでは機能が正常に動作しないこともあるので、ご利用のサーバー環境を確認しておきましょう。

参照：動作環境 CloudSecure WP Security

競合するプラグインがあると無効化される

他のセキュリティ対策プラグインや、同様の機能を持つプラグインと併用すると、CloudSecure WP Securityが正常に動作しないこともあります。

セキュリティ対策プラグインは、プラグイン同士で機能が競合することが多いです。
そのため、原則として複数同時には使わず、1つに絞って運用するようにしましょう。

すでに他のセキュリティプラグインを使っているなら、どちらに統一するか事前に検討してください。

プラグインだけで万全ではない

CloudSecure WP Securityを入れたからといって、それだけでWordPressサイトのセキュリティが完璧になるわけではありません。
これは、他のプラグインを使用する場合も同じですが、プラグイン単体でセキュリティ対策が完璧になるわけではないので注意してください。

具体的には、以下の対策と合わせて実施することで、より高いセキュリティを実現できます。

• サーバー側のSSL化（HTTPS化）
• サーバー側のWAF（レンタルサーバーが提供しているもの）
• WordPress本体・テーマ・プラグインの定期的な更新
• 定期的なバックアップの取得
• 強力なパスワードの設定

プラグインによる対策と、サーバー側・運用面での対策を組み合わせるのが、WordPressのセキュリティ強化の基本です。

CloudSecure WP Securityの設定はプロに任せませんか？

CloudSecure WP Securityは、エンジニア・プログラマーではなくても設定できます。

ですが、状況次第では専門的な知識が必要になることもあります。
また、導入したいけれど自分で設定するのは不安、設定ミスでサイトに入れなくなるのが怖い、という方も多いと思います。

当方では、CloudSecure WP Securityを使ったWordPressセキュリティパックをご提供しています。
WordPressのセキュリティ対策に必要な設定を、当方がまとめて代行します。

WordPressサイトを安全に運用していくための土台作りとして、お気軽にご相談ください。

まとめ

今回は、無料で使えるセキュリティ対策プラグイン「CloudSecure WP Security」についてまとめました。

セキュリティ対策は、被害が出てからでは手遅れになることが多いです。

また、もし設定に不安がある方は、当方のセキュリティパックもご検討ください。