この記事の要点
- IP制限は、許可した場所からだけ管理画面を開けるようにする方法です
- パスワード突破を狙う攻撃に対して、効果が高い対策です
- 自分が入れなくならないよう、事前の準備が必要です
- IP制限は、他の対策と組み合わせると効果的です
WordPress管理画面のIP制限とは、管理画面のアドレスへのアクセスを、許可したIPアドレス(接続元の住所)からだけに限定する設定です。ログイン画面に到達させないため、パスワードを狙った攻撃を大きく減らせます。ただし、自分たちが入れなくなる事態を避けるための準備が重要です。
なぜ管理画面を守る必要があるのですか?
WordPressは広く使われているため、管理画面のログインページが攻撃の標的になりやすいからです。攻撃者は、自動的にパスワードを何度も試して、侵入を図ります。
管理画面に入られると、サイトの改ざん、不正なプログラムの設置、情報の閲覧などの被害につながります。
IP制限の仕組みと効果は?
IP制限は、サーバー側で、管理画面へのアクセスを許可したIPアドレス以外から拒否する設定です。ログインの前の段階で止めるため、パスワードを推測される機会そのものがなくなります。
| 対策 | 防げるもの | 注意点 |
|---|---|---|
| IP制限 | 許可外からのログイン試行すべて | 接続元が変わると入れない |
| 強いパスワード | 推測による突破 | 使い回しに注意 |
| 二段階認証 | パスワード漏えい後の不正利用 | 手間が増える |
| 不正ログインの自動遮断 | 繰り返しの試行 | 設定の調整が必要 |
設定するときの手順は?
- 管理画面にアクセスする担当者と、その接続元を整理する
- 許可するIPアドレスを確認する
- サーバーの設定で、管理画面のアドレスを制限する
- 許可した場所から入れること、許可外から入れないことを確認する
- 設定内容と、変更の方法を記録する
固定IPがない場合
自宅や外出先の回線では、IPアドレスが変わることがあります。この場合は、社内の固定IPを使う、VPN(安全な専用の通信経路)を経由して接続する、といった方法を検討します。許可するIPを頻繁に書き換える運用は、手間と誤りのもとになります。
設定時に気を付けることは?
- 制限する範囲を、管理画面とログインに関わる部分に限定する(サイト全体を制限しない)
- フォームや外部サービスが使う処理まで遮断していないか確認する
- 担当者の追加や退職のたびに、許可リストを更新する
- 万一入れなくなったときの、サーバー側での解除手順を用意する
IP制限だけで十分ですか?
IP制限は強力ですが、それだけでは十分とはいえません。WordPress本体とプラグインの更新、強いパスワード、不要なアカウントの削除、バックアップを合わせて実施します。許可した端末が乗っ取られる可能性も考えて、多層で守ります。
スタイルチューンができること
スタイルチューンは、複数の中小企業さまのWordPressサイトで、管理画面へのIP制限を設定してきました。接続元の整理、制限範囲の設計、設定後の動作確認、許可リストの更新まで対応します。
不正ログインの自動遮断(fail2ban)や、PHPのメール送信の上限設定など、サーバー側の対策もあわせて行います。サービスの全体像はサービス一覧をご覧ください。
管理画面の守りを見直したい場合は、お問い合わせフォームからご相談ください。