【WordPress】自サイトを守るために必要な、ファイルのアクセス権限の設定方法とセキュリティの注意点

WordPress

2023/12/26

記事内に広告が含まれていることがあります。

WordPressの乗っ取りなどを防ぐために、主要なファイルはアクセス権限（パーミッション）を正しく設定しておく必要があります。

基本的には、自分（オーナー）のみに主だった権限が与えられていて、その他のユーザーは必要に応じて読み込みができるようにうする必要があります。

また、自分（オーナー）であっても実行権限は必要な場合のみ付与します。

注意点

次のアクセス権限は誰でも書き込める設定のため、これらの権限にはしないこと。

権限（数値）	権限（シンボル）
777	rwxrwxrwx
666	rw-rw-rw-

ファイルやディレクトリのアクセス権以外にも、テーマやプラグインに脆弱性がある場合に、サイトが改ざんされるリスクがあります。

このため、プラグインとテーマに関しては以下を守ることが大切です。

特にテーマはファイル数も多く、サーバー容量を圧迫するため使わないものは削除しておくべきです。※ただし、何かあった時のために公式テーマは１つ残しておきます。（現在のテーマが使えなくなったとき、自動的にインストールされている公式テーマに切り替わります。）

FTPソフトを使えばサーバーに置いてあるWordpressの根幹となるファイルにアクセスできます。

このため、FTPを使う際のプロトコルは必ず暗号化されているものを使う必要があります。FTPは暗号化されていないのでNGです。

暗号化されているプロトコルの例は以下になります。サーバー側がサポートしているプロトコルをご使用ください。

プロトコル	内容	備考
SFTP	暗号化にSSH（Secure Shell）を使った接続	秘密鍵と公開鍵を使ったSSHを使う。ポートは22
SCP	暗号化にSSH（Secure Shell）を使った接続。SFTPよりも速い。	UNIX系サーバーで使える。ポートは22
WebDAV	httpの拡張。ドラッグドロップなどができる。FTPソフトで接続したときの見え方はFTPなどと同じ。	ポートは443（または80）。
Amazon S3	Amazonが提供するストレージサービスS3。	ポートは443。AWS CLI接続を簡単にできる

WordPressはwp-admin/index.php ファイルなど、インストール後に不要になるファイルがいくつかあります。

正確には、再インストールや初期化をする場合に必要になるのですが、サイトを消す可能性がない場合は、第三者に実行されのっとられてしまうこともあります。

このため、不要なファイルは削除することもセキュリティを改善するためには推奨となります。

また、 /license.txt のように、サイトの機能に関係のないファイルが含まれているのでこれらも削除しても問題ありません。

/wp-admin/user/

/wp-admin/css/about.css

末尾に「-rtl」とついているファイルは、アラビア語など右から左に読む言語用のファイルなので、日本語のみの利用の場合は不要です。