ワードプレスセキュリティガイド by Sucuri Security

# BEGIN WordPress
# Rewrite rule
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ – [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

書き換えルールの基本

サーバーへの書き込みアクセス権がある場合、特にパーマリンクの問題を修正するためにWordPressによって生成されます。

ファイルの先頭にない場合は、.htaccessファイルの先頭に配置します。 他のルールは、＃BEGIN WordPressおよび＃END WordPressステートメントの後に配置する必要があります。

# Protect wp-config Apache 2.2
<files wp-config.php>
order allow,deny
deny from all
</files>
#Protect wp-config Apache 2.4
<Files "wp-config.php">
Require all denied
Require ip 1.1.1.1

wp-config.phpを保護する

訪問者がwp-config.phpファイルにアクセスすることを制限します。wp-config.phpファイルには、名前、ホスト、ユーザー名、パスワードなど、データベースに関する機密情報が含まれています。 このファイルは、詳細設定、セキュリティキー、開発者オプションの定義にも使用されます。

# Prevent directory browsing
Options All -Indexes

ディレクトリの参照を禁止する

攻撃者がWebサイトのフォルダーコンテンツを表示することを防ぎ、Webサイトを悪用するために必要な情報の閲覧制限をします。

# Prevent image hotlinking
RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} \
!^http://(www\.)example.com/.*$ [NC]
RewriteRule \.(gif|jpg|jpeg|bmp|png)$ – [NC,F,L]

画像のホットリンク(直リンク)を防ぐ

他のWEBサイトが自サイトでホストされている画像を使用できないようにします。ホットリンクによってサイトがハッキングされることはありませんが、サーバーリソースの悪用につながる可能性があります。example.comを自サイトURLに変更します。

# Protect htaccess Apache 2.2
<files ~ "^.*\.([Hh][Tt][Aa])">
order allow, deny
deny from all
satisfy all
</files>
# Protect htaccess Apache 2.4
<FilesMatch "^.*\.([Hh][Tt][Aa])">
Require all denied
</FilesMatch>

.htaccessを保護する

攻撃者が「hta」で始まるファイルにアクセスできないようにします。
サーバーのすべてのディレクトリで.htaccessファイルが保護されます。

# Protect wp-config Apache 2.2
<files wp-config.php>
order allow,deny
deny from all
</files>
#Protect wp-config Apache 2.4
<Files "wp-config.php">
Require all denied
Require ip 1.1.1.1
</Files>

PHPバックドアを防ぐ

このルールは、ハッカーが悪意のあるファイルのアップロードによく使用される/ wp-includes /および/wp-content / uploads /フォルダーにPHPバックドアを配置されてしまうことを防ぎます。

# Block Includes
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ – [F,L]
RewriteRule !^wp-includes/ – [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ – [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php \
– [F,L]
RewriteRule ^wp-includes/theme-compat/ – [F,L]
</IfModule>

ブロックインクルード

ハッカーがインクルードに使用される4つのプライマリフォルダーのいずれかに悪意のあるファイルを挿入することをブロックします。

• / wp-admin / includes /
• / wp-includes
• / wp-includes / js / tinymce / langs /
• / wp-includes / theme-compat /

WordPressのマルチサイトを実行すると、これらのディレクティブが問題を引き起こす可能性があります。要確認、注意してください。