XO Securityの使い方！SWELLのセキュリティを強化しよう

このような疑問にお答えします。

WordPressのセキュリティ系プラグイン「XO Security」の設定は超かんたん。

手順どおりに進めれば10分で完了します。

はじめに「XO Security」の概要を紹介し、次に「設定方法」や「ログインできないときの対処法」を解説。

この記事を読めばSWELLのセキュリティをバッチリ強化できますよ！

SWELL推奨プラグインはこちら

XO Securityとは

「XO Security」とは、WordPressのセキュリティ系プラグインです。

不正ログイン、スパムといった脅威からサイトを守ることができます。

主な機能

SWELL公式サイトでも推奨されています。

選択肢2: XO Security + BBQ Firewall

Wordfence Securityを使えないケースや、シンプルなもので十分な場合にこの組み合わせをよく使っています。

XO Security はログイン系のセキュリティを強化できるプラグインで日本語で設定でき、「SiteGuard WP Plugin」の代わりにもなるので最近よく使っています。

BBQ Firewall はファイアウォール機能を追加できるプラグインで、「軽量で他プラグインと競合しない」のが最大の特徴のようです。

推奨プラグインと非推奨・不要・注意すべきプラグインについて

Wordfence Securityの詳細はこちら

XO Securityのインストール

XO Securityのインストール方法です。

XO Securityの設定方法

XO Securityの設定方法です。

「ダッシュボード」>「設定」>「XO Security」からどうぞ。

ステータス

「ステータス」では現在の設定状況を確認できます。

デフォルトでは「ログインログ記録」のみ稼働中です。

ログイン

上段「ログイン」、下段「ログインフォーム」に分けて解説します。

試行回数制限

12時間の間に4回までリトライを許可する。

（ログインを4回失敗したら12時間ロックするという意味）

ブロック時の応答遅延

「120秒」

失敗時の応答遅延

「10秒」

連続入力を防げます。

ログインページの変更

「ON」

デフォルトでは「ブログのURL/wp-login.php」となっており、ログインページだとバレバレ。

変更することをおすすめします。

変更後、URLはかならずブックマーク・保存してください。

ログイン ID の種類

「ユーザー名のみ」

メールアドレスを許可すると、メアドが流出した際に不正ログインの可能性が高まります。

ログイン言語制限

プログラマー向けなので、このままでOK

ログインエラーメッセージ

「簡略化」

ログインに失敗した理由を隠せます。

CAPTCHA

「ひらがな」

ログインフォームに画像認証を設置。

海外Bot対策に「ひらがな」がおすすめ。

ログインアラート

「ON」

ログインする度にメール通知されます。

誰かがログインしたときにすぐ気付けるので「ON」推奨。

最後に「変更を保存」をクリックして完了。

コメント

「コメント」タブに切り替えます。

CAPTCHA

「ひらがな」

コメントフォームに画像認証を設置できます。

スパム保護フィルター

「OFF」

日本語文字を含まない：コメントを日本語に限定

スパムとして保存されているコメントのメールアドレス：すでにスパム判定されているコメントのメールアドレスを制限

スパムコメント

「ブロックする」

ボット保護チェックボックス

「OFF」

「私はロボットではありません」が表示されます。

セキュリティは強化されますが、「CAPTHA」と併用するとユーザービリティが損なわれるため、どちらか一つを設定しましょう。

最後に「変更を保存」をクリック。

XML-RPC

「XML-RPC」タブに切り替えます。

XML-RPC の無効化

「OFF」

ブルートフォースアタック（総当たり攻撃）を防げますが、無効化するとプラグインに不具合のでる可能性があります。

XML-RPC ピンバックの無効化

「ON」

DDoS攻撃（過負荷攻撃）を防げます。

最後に「変更を保存」をクリックして完了。

WordPressをリモートで使用する人は、「XML-RPC の無効化」をONにしないほうがいいでしょう。

ピンバックは便利な機能ですが、不正サイトへの誘導や「DDoS攻撃」の標的にされやすいです。

そのため無効化しています。

REST API

「REST API」タブに切り替えます。

REST API の無効化

「ON」

【/wp/v2/users】と【/wp/v2/users/(?P[\d]+)】にチェック。

無効化すると「REST API」を利用した攻撃からサイトを守れます。

しかし、すべて無効化してしまうとプラグインが動かなくなる可能性が。

ですから、ユーザー名の秘匿に関する上記2か所のみを無効化します。

最後に「変更を保存」をクリック。

秘匿

「秘匿」タブに切り替えます。

投稿者スラッグの編集

「ON」

投稿者スラッグを変更すると【ログインID】の漏洩を防げます。

コメント投稿者クラスの削除

「ON」

コメント投稿者の欄に表示される【ユーザー名】を秘匿できます。

バージョン情報の削除

「ON」

バージョン情報を公開してもメリットがないので非表示にします。

最後に「変更を保存」をクリック。

投稿者スラッグの編集

投稿者スラッグとは、投稿者アーカイブページのURLのユーザー名を表す部分です。

「サイトURL/?author=1」と入力すれば確認できます。

WordPressのデフォルト状態では、ログインIDがユーザー名（eitaの部分）になっています。

つまり、誰でもログインIDがわかるため不正ログインされやすい状態ということ。

ですから、投稿者スラッグからログインIDが推測されないよう、投稿者スラッグを変更するわけです。

変更方法

環境

「環境」タブに切り替えます。

環境設定はこのままでOK

XO Securityの使い方

XO Securityを導入したらとくにやることはありません。

たまに「ログインログ（履歴）」と「ログイン情報」の確認をすればOKです。

ログインログ（履歴）

「ダッシュボード」>「ユーザー」>「ログインログ」

ログイン履歴を見れます。

ログイン情報

ログイン情報はWordPressのダッシュボードに表示されます。

「ログイン失敗件数」は不正ログイン攻撃された回数。

設置直後なので0ですが、収益の有無関係なく一日で数十回は攻撃されます。

しっかりセキュリティ対策しましょう。

XO Securityが原因でWordPressにログインできないときの対処法

WordPressの管理画面にログインできないのは「XO Security」が原因かもしれません。

以下の方法をお試しください。

コノハウィングを例に解説しますが、他サーバーでも手順は同じです。

画面が変わらないときは、ブラウザのキャッシュをクリア、「F5」で更新をお試しください。

BBQ Firewallも一緒に使おう

「BBQ Firewall」はWordPressにファイアウォール機能を追加してくれるプラグインです。

XO Securityとは異なる働きをしてくれるため、SWELL公式サイトでも導入を推奨されています。

設定の必要はなく、インストールしたら「有効化」するだけでOK

まとめ｜SWELL版「XO Security」の使い方

今回はSWELL版「XO Security」の使い方をまとめました。

日本語対応しているので迷うことなく設定できましたね。

「BBQ Firewall」と一緒に使えばセキュリティ対策も万全です。

あわせて読みたい