【WordPressセキュリティ強化】Wordfence Securityの設定方法と使い方をやさしく解説！

「プラグインを追加」からWordfence Securityを検索しましょう。

表示されたら使用中のWordPressのバージョンと互換性があるか確認しましょう。

「今すぐインストール」をクリックします。

「有効化」をクリックします。

「GET YOUR WORDFENCE LICENSE」と書かれたボタンをクリックします。

Wordfenceのライセンス選択ページが開きます。

「Wordfence FREE」の「Get a Free License」をクリックします。

イメージのような画面がポップアップします。

書かれていることをざっくりまとめると、以下2点です。

• Free（無料版）はファイアウォールルールとマルウェアスキャンのシグネチャが30日遅延する
• リアルタイムで取得したいなら有料版が必要

Free版（無料版）の条件に同意できる方は、「I’m OK waiting 30 days for protection from new threats」をクリックしましょう。

Register画面に変わります。

• メールアドレスを入力
• 通知の受け取り：「Yes」を選択
• 規約等の同意ができたらチェック

して「Register」をクリックしましょう。

ライセンスキーをメールに送ったので、確認の上インストールを完了するよう促す画面に変わります。

メールを確認しましょう。

届いたメールを確認するとボタンがありますね。

「Install My License Automatically」をクリックしましょう。

「Wordfenceのインストール」の画面に、自動的にメールアドレスとライセンスキーが入力されています。

「ライセンスインストール」のボタンをクリックしましょう。

画面下に「Wordfenceは作業中」が表示されます。

若干時間がかかりますので待ちます。

無事インストールが終わると「無償ライセンスインストール済み」の画面がポップアップします。

「ダッシュボードへ」をクリックしましょう。

WordPressの管理画面から、「Wordfence」→「ダッシュボード」をクリックします。

ダッシュボード画面が表示されたら、「ファイアウォールを管理」をクリックします。

「ファイアウォールのオプション」画面に変わります。

まずは「Webアプリケーションファイアウォールの状態」を確認しましょう。

以下3つを確認しましょう。

• 「学習モード」が選択されている
• 「次のとき自動的に有効化」にチェックが入っている
• 日付が1週間後になっている

Wordfenceは1週間ブログやサイトを学習し、どのように保護するか、どのように普通の訪問者をファイアウォールに通すかを理解します。

ハセブロ

1週間の学習が終了すると、「学習モード」から「有効であり保護中」に変わります。

次は「保護レベル」を設定します。

「WORDFENCE ファイアウォールの最適化」をクリックします。

「Wordfenceファイアウォールの最適化」をするために、サーバーの動作を制御する.HTACCESSファイルが書き換えられます。

「次へ」をクリックします。

「インストール成功」が表示されたらOKです。

「閉じる」をクリックしましょう。

イメージは、「ファイアウォールの基本オプション」を設定した後の画面です。

まずは「ブルートフォース保護を有効化」が「オン」になっていることを確認しましょう。

この後、イメージにある2つの赤枠を一つずつ設定していきます。

まずはロックアウト回数と期間の設定から解説しますね。

デフォルトでは、以下の内容で設定されています。

なぜ①と②が20回で設定されているかというと、以下が根拠のようですね。

実際のユーザーがパスワードを忘れて、ユーザー名やパスワードを思い出そうとしている間に、最大 5 回以上のログイン試行が発生することがよくある～中略～したがって、これを 20 に設定することをお勧めします。

引用元：Wordfence ヘルプ – ブルート フォース プロテクション

一般的な傾向から設定されているようです。

失敗回数とロックアウト期間の組み合わせ方は、以下が参考になります。

たとえば、失敗数を 20 に設定し、期間を 5 分に設定し、このオプションを 5 分に設定した場合、攻撃者は 5 分ごとに 20 件の推測しか得られず、攻撃が行われるまで 5 分間待機する必要があります。

～中略～

ロックアウトされてからちょうど 5 分後に攻撃を再開できると想定した場合、その結果、10 分ごとに 20 回の推測しか得られず、1 日あたり 2880 回の推測しか得られません。

引用元：Wordfence ヘルプ – ブルート フォース プロテクション

上記の引用部分を図にしたものが、以下です。

Wordfenceのドキュメントには、以下のような記述もあります。

ある程度強力なパスワードを使用している場合、パスワードを正しく推測するには何千回もの推測が必要になります。

引用元：Wordfence ヘルプ – ブルート フォース プロテクション

ハセブロ

とはいえ、心配症の僕は攻撃（推測）可能な回数が2880回／日って結構多いかも？と感じてしまいました…。

上記を踏まえて、現時点で僕に適するであろう設定を参考程度にご紹介します。

推奨設定ではないことを予めお伝えします。

僕はログイン時に、2回程打ち間違えによる失敗がたまにあります…。

それでも5回あれば十分猶予はあるので5回に設定。

ロックアウト期間が長すぎると、自分がロックアウトされた場合に支障をきたしてしまう可能性があるので、デフォルトの4時間くらいが許容できる時間かなと感じました。

これなら1日に攻撃（推測）できる回数もぐっと減らすことができますよね。

ハセブロ

厳しすぎる設定にすると自分の首も絞めてしまうことになりかねないので、バランスを見て設定するようにしましょうね！

「無効なユーザー名を即座にロックアウトする」設定も行っておきましょう。

ユーザー名をadminとしてログインを試みる場合は即座にロックアウトするという設定を例に解説します。

• WordPressインストール時にユーザー名を変更しないとadminになる
• ユーザー名を変更せずadminのままインストールする人もいる
• 推測しやすいadminでログインを試みる攻撃者が多い

というのが理由です。

ハセブロ

設定前に「ログイン試行回数」の「失敗」でブロックされた一覧を確認した所、adminで試行したものがずらっと並んでいました…。adminが狙われやすいユーザー名であることがよく分かりましたね。

この設定は、ユーザー名がadminではない方が対象です！

もしユーザー名がadminの場合、自分も即座にロックアウトされてしまうことにご注意ください！

「無効なユーザー名を即座にロックアウトする」にチェックを入れましょう。

空欄にadminを入力してEnterを押すと、無効なユーザー名にadminが登録されます。

「ファイアウォールの基本オプション」の中でピックアップしたいものがあります。

「ブルートフォース保護」の「追加オプション」を確認しましょう。

「’/?author=N’スキャン、oEmbed API、WordPress REST APIおよびWordPress XMLサイトマップによるユーザー名の発見を防ぐ」にチェックが入っていることを確認してください。

これは投稿者アーカイブページを開けない（検索されない）ようにする設定です。

ハセブロ

投稿者アーカイブページを開くとユーザー名がURLに表示されてしまうのでセキュリティ的には不安ですもんね…。

投稿者アーカイブページについては、「【初心者向け】XML Sitemap & Google Newsの設定方法と使い方を解説！サーチコンソールとの連携も！」でも取り上げて解説しています。

あわせて読みたい

【初心者向け】XML Sitemap & Google Newsの設定方法と使い方を解説！サーチコンソールとの連携も！ こんにちは！ハセブロです！ 今回は、XMLサイトマップの生成方法と生成したXMLサイトマップを検索エンジンに送信する方法を解説します！ XMLサイトマップって何？必要な…

Wordfenceの設定によって、投稿者アーカイブページがどうなるか確認してみましょう。

https://自分のドメイン/?author=1を検索ブラウザに入力して開いてみて下さい。

「ページが見つかりませんでした。」などのページに遷移するようになります。

URLにユーザー名も表示されません。

イメージは僕のテーマのものなので、見え方は異なります。

WordPressの管理画面から、「Wordfence」→「スキャン」をクリックします。

初めてスキャンを開いた場合、ガイドがポップアップします。

「了解」をクリックしてポップアップを閉じ、「新しいスキャンを開始」をクリックしましょう。

スキャンが終わるまで待ちます。

終了しましたが、「サーバーの状態」に「 」がついています。

内容を確認すると、サーバーに問題があるのではなく「スキャン設定」を変更する必要があるようです。

「スキャン」の画面で「スキャンを管理」もしくは「スキャンオプションとスケジューリング」のどちらかをクリックして「スキャン設定」を開きましょう。

「スキャン設定」の下の方に、該当する項目があります。

「WordPressインストール外のファイルをスキャン」にチェックを入れましょう。

スキャンの画面に戻ります。

改めて「新しいスキャンを開始」でスキャンをしてみて下さい。

「サーバーの状態」にも「 」がついたらOKです。

ハセブロ

Wordfence Free（無料版）は3日ごとにスキャンされますよ！

WordPressの管理画面から、「Wordfence」→「ログインセキュリティ」をクリックします。

「二要素認証」の設定画面が開きます。

まず、リカバリーコードをダウンロードして安全な場所に保管しておきましょう。

Authenticatorアプリで画面に表示されているQRコードを読み取り、Wordfenceを紐づけます。

Wordfenceの「二要素認証」画面の空欄に、Authenticatorアプリに表示されたコードを入力しましょう。

「有効化」をクリックします。

画面が変わり、有効化されたメッセージが表示されたらOKです。

先ほどの「二要素認証」の横に「設定」のタブがあるのでクリックします。

画面を下にスクロールすると、「reCAPTCHA」の設定項目があります。

「ログインページとユーザー登録ページでreCAPTCHAを有効にする」にチェックを入れます。

Google reCAPTCHAのページで、サイトキーとシークレットキーをそれぞれコピーします。

WordPressに戻り、先ほどコピーしたサイトキーとシークレットキーをそれぞれ空欄にペーストして入力します。

WordPressの管理画面から、「Wordfence」→「すべての設定」をクリックします。

画面を下にスクロールすると、「通知メールの設定」があります。

「通知メールの設定」は各項目を確認し、必要なものにチェックを入れておきましょう。

ハセブロ

僕はほとんどデフォルトのままですが、以下を変更しています。

デフォルトでは「管理者権限のある人がサインインしたときにアラートする」にチェックが入っています。

これだと、自分がログインしたら毎回メール通知が来てしまうのでチェックを外します。

しかし、「管理者以外のユーザーがサインインしたときにアラートする」にチェックが入っていないので、チェックを入れます。

ハセブロ

以上でWordfence Security FREEの設定は完了です！お疲れ様でした！