[WP]インストール前から気をつけること（セキュリティ的観点から）
前置き
wordpressのセキュリティレベルを少しでもを上げる為に、インストール前に確認しておきたいこと。
特にDBのプレフィックスなど後から変更しにくいものもあるので事前に意識しておく。
何れも“気休め”程度にしかならないかも知れない。
しかし1%でもセキュリティレベルが上がれば…と願いつつ。
確認項目
1.インストール時に気をつけること
- 必ず最新のwordpressで構築する（※1）
- DBのプレフィックス（Prefix）をデフォルトの「wp_」から乱数などに変更する
- 管理者名を「admin」のままにしない
- 管理者パスワードは乱数などの「複雑なもの」にする
※1：
使い慣れた、または有用なプラグインが最新バージョンに対応していないので最新版が使えない…といった場合もあるが、極力最新版を使う様に心がけたい
2.インストール直後に行っておくこと
- /wp-admin ディレクトリ直下に ベーシック認証（.htaccess/.htpasswd）を設定する
- /wp-config.php にセキュリティキーを設定する
- /wp-config.php や /.htaccess はパーミッションを444（Read Only）にしておく
- セキュリティ関連のプラグイン『Secure WordPress』等を入れておく（下記参照）
- プラグイン『Akismet』を有効にしておく（WordPress.comでAPI keyを取得する）
- デフォルトのサンプル固定ページとコメントは削除（メッセンジャー云々、ゴッサム云々、という固定ページ….）
3.運用中に行うこと、心がけること
- 可能な限り新しいバージョンのWordPressを更新しつづける
- 定期的にDBやwordpress本体のバックアップを取っておく
- プラグイン『admin-ip-watcher』から送られてくるメールを注視する
4.その他（ガンプラー対策も含めて）
- FTP接続ではなく、FTPS（FTP-SSL ）やSFTPで接続する
- FTPクライアント『FFFTP』は使用しない（SFTPに対応していない、また攻撃されやすい為）
- 可能な限りWindows以外のOSで作業する（ウィルスに感染しにくい為）
もしファイル改ざんされてしまったら、真っ先に行う事
まず発見した時点で
- 解決する迄、一時的にサイトをクローズする（訪問者に被害が及ぶ可能性が高い為）
次に
- WordPressを最新のバージョンにアップデートする
- プラグイン等の関係でアップデートが無理ならばgrep等で「base64」というキーワードでwordpress全体を検索し該当箇所を潰す。htmlファイルには妙なJSが埋め込まれていることがある。.htaccessにも妙な埋め込みもある。他にphp自体の改ざん等いろいろある。。。。）
- 管理画面などのパスワードを変更する