WordfenceはWordPressで人気のセキュリティプラグインです。サイトのセキュリティレベルを向上させたい場合は、Wordfenceファイアウォールプラグインをインストールできます。
WordPressセキュリティプラグインWordfenceの紹介
WordfenceはWordPressで有名なセキュリティプラグインで、ファイアウォールとマルウェアスキャナーを備えています。Wordfenceの動作方法について詳しく知りたい場合は、この記事をクリックを参照。
簡単に言うと、Wordfenceは悪意のあるプラグインや悪意のあるコードを含むファイルのインストールを阻止し、サイト上のすべてのファイルをスキャンして悪意のあるコードを検出できます。
また、ブルートフォースパスワード攻撃の防止、ファイル変更のチェック、脆弱性のチェックなども行えます。
Wordfenceには、Naibaが便利だと感じる2つの機能があります。
一、ファイルスキャン
Wordfenceのスキャナーはサーバー上のすべてのファイルをスキャンできます。プロフェッショナル版を使用している場合は、クラウドデータベースに接続してファイル比較スキャンを行い、より効果的です。例えば下図のように、Naibaのサイトで空白のphpファイルが検出されました。
ファイル名：wp-admin / .php
ファイルタイプ：コア
詳細：このファイルはWordPressコアの場所にありますが、このバージョンのWordPressには含まれていません。これは通常、以前のWordPressアップデートから残ったものですが、攻撃者によって追加された他のプラグインや悪意のあるファイルによって追加された可能性もあります。
サイトが侵入された場合、ファイルの変更に痕跡が残るはずです。早期発見・早期対応で、大きな被害を防ぎましょう。
二、ファイアウォール機能
サイトが攻撃を受けたり、スパムボットがリソースを取得しようとしたりしても、手動でサイトログを監視してIPをブロックすることはできませんが、Wordfenceのファイアウォール機能を使用すると、一定の条件を満たしたIPを自動的にブロックできます。
例えば、Naibaサイト構築ノートでは、サイトのバックドアファイルを探すスパムボットに頻繁に悩まされていましたが、Wordfenceをインストールした後、ファイアウォールが自動的に多くをブロックしてくれました。
他にも多くの機能がありますので、インストール後に自分で体験してみてください。
Wordfenceプラグインのダウンロード先
Wordfenceには無料版とプロフェッショナル版があり、その違いはプロフェッショナル版にはAPI権限が追加され、リアルタイムIPブラックリスト、ファイアウォールルール、マルウェアシグネチャを含む新しいルール更新をサーバーから取得できる点です。また、高度なサポート、国単位のブロック、より頻繁なスキャン、スパムおよびスパムチェックも含まれます。
Wordfenceプロフェッショナル版の入手方法
実は個人ブログであれば、無料版の機能でも十分です。しかし、ちょうど先日、唯心寒辞氏のところでWordfenceプロフェッショナル版のキー入手方法を見かけたので、ついでに共有します。
まず、Wordfenceプラグインをインストールし、WordPressプラグインインストールチュートリアル。
次にプラグインを実行すると、下図のようなプロンプトが表示されるので、メールアドレスを入力します。
ボタンは「NO」（広告メールを受け取らない）を選択し、利用規約に同意して「CONTINUE」をクリックします。
次のキー入力画面では、「No Thanks」をクリックします。
次に、FTP（宝塔パネルの場合は、ファイル編集機能を直接使用して、wp-content/plugins/wordfence/lib/wordfenceClass.phpファイルを開きます。
以下のコードを検索します
if (!WFWAF_SUBDIRECTORY_INSTALL && $waf = wfWAF::getInstance()) {そして、このコードの下の$siteurl = wfUtils::wpSiteURL();というコードの下に、以下の4行のコードを追加します。
wfConfig::set('isPaid', 1);
wfConfig::set('keyType', wfAPI::KEY_TYPE_PAID_CURRENT);
!!wfConfig::set('isPaid', 1);
!!wfConfig::set('keyType', wfAPI::KEY_TYPE_PAID_CURRENT);最終的な効果は下図のようになります：
そして、ファイルを保存して上書きします。
一万日以上、次回の更新方法が無効になるかどうかはわかりませんが、NaibaがテストしたバージョンはWordfence 7.4.1です。
Wordfence使用上の注意
経済的に余裕があれば、正規版プラグインをサポートしてください。
Wordfenceをインストールするとサーバーに一定の負荷がかかります。サイトが重くなったと感じる場合は、ファイルスキャンが必要なときだけWordfenceを有効にし、通常はプラグインを無効にすることを検討してください。
どんなWordPressセキュリティプラグインも補助的なものに過ぎません。重要なのは、サーバーのセキュリティ対策を自分でしっかり行うことです。お金があれば正規のテーマやプラグインを購入し、お金がなくても海賊版のテーマやプラグインは使わないようにしましょう。出所不明のファイルやコードをアップロードせず、複雑なパスワードを設定すれば、通常は簡単に侵入されることはありません。
次に、Wordfence には php.ini ファイル（Nginx 環境下）に書き込む最適化オプションもあります。必要に応じて書き込むかどうかを決めてください。Naiba はこのプラグインを長期使用する予定がないため、書き込みませんでした。書き込めば防御力はさらに向上するはずです。（書き込めない場合は、次の記事を参照してください：.user.iniファイルの権限を変更してWordfenceの高ファイアウォールレベルを追加）