WordPressをブルートフォースアタックから守るために、最低限やっておきたい.htaccessの設定

世界中で頻発する、WordPressを狙った不正なアタック。
その手口の多くは、「ブルートフォースアタック」と呼ばれる、パスワードの総当たり攻撃です。
数さえ打てばいつかは当たるとばかりに、WordPressのログイン画面である「wp-login.php」に、執拗にアクセスしてきます。

いい迷惑ですね。ホントやめて欲しいです。
パスワードがバレなかったとしても、不正アタックのたびにWordPressが何度も起動するため、サイトのパフォーマンスが大きく低下してしまいます。

実際に、このサイトもブルートフォースアタックの被害に逢いました。実は、昨日、そのことが原因で、サーバ運営会社から一時的にCGI/PHPが制限されてしまったんです。

その時にサーバの管理画面に表示されていたメッセージがこちら。

wp-login.php の過負荷により、CGI/PHPが制限されています。

何だコレ？
調べてみると、世界中から、このサイトの「wp-login.php」にアタックされているようです。
トルコ、イスラエル、フィリピン、アメリカ。
いまさらながら、インターネットって怖いですね。

でも、あたふたしているだけじゃ仕方がないので、WordPressと.htaccessの設定を急遽見なおして、なんとか危機を回避することができました。

手順は３段階。次のとおりです。

世界中からアタックされている現状を知る
wp-login.phpのURLを変更する
REMOTE_HOSTが、自分が使用しているプロバイダと一致する場合にのみ、ログイン画面へのアクセスを許可する

ステップ１：世界中からアタックされている現状を知る

まずは、自分のサイトがどのくらいの頻度で攻撃を受けているのか、知る必要があります。
私の場合は、WordPressのプラグイン「Limit Login Attempts」をインストールしています。

このプラグインのメインの機能は、同一IPアドレスからのログインが一定回数以上失敗した場合、しばらくの間、そのIPアドレスからの接続にロックをかけるというものです。それだけでも便利なんですが、このプラグインには、補助機能として、ロックしたIPアドレスの履歴を見ることができるんです。

世界中から繰り返されるアタック。
記録されたIPアドレスが、どの国のものかを知りたいときには、例えば、次のサイトを使います。

IPひろば

ちなみに、Limit Login Attemptsで特定のIPアドレスからの攻撃にロックをかけたとしても、WordPress自体はその都度起動しています。ですから、アタックが集中すると、サーバ運営会社によっては、一時的にCGI/PHPが制限されてしまうかもしれません。

ステップ２：wp-login.phpのURLを変更する

WordPressのログイン画面のURLって、デフォルトでは、「（サイトのURL）/wp-login.php」となっていますよね。
このURLを変更し、ログイン画面を隠してしまいます。

使うのは、「Login rebuilder」というプラグイン。
手軽に、ログイン画面のURLを変更することができます。

ただ、WordPressのプラグインでURLを変更しているわけですから、ステップ１のLimit Login Attemptsと同様に、wp-login.phpへのアタックを受けるたびにWordPressが起動することには変わりありません。
これを解決するには、やはり.htaccessでどうにかするしかありません。その方法が、次のステップ３になります。