複数の WordPress セキュリティプラグインを 1 つのプラグインにまとめられますか？

なぜ重要なのか

WordPress のセキュリティ対策は、心配ごとが 1 つ増えるたびに膨らんでいきがちです。ボットがログインページを見つけたので、ログインを隠すプラグインを追加する。次はパスワードの推測なので、ログイン制限のプラグイン。さらに 2FA のプラグイン、XML-RPC をオフにするプラグイン、コメントスパム対策サービス、フォームプラグインごとのハニーポット、偽の登録への対策、攻撃的なボットへの対策……。

どのプラグインも、単体で見れば妥当です。しかし組み合わさると、目立たない問題が起きます:

• ログがばらばら。 ブロックしたログインはあるプラグインに、ブロックした登録は別のプラグインに、ブロックしたボットはさらに別のプラグインに記録されます。全体像を把握している人は誰もいません。
• 許可リストがいくつもある。 ある場所で自分の IP を許可しても、別の場所でロックアウトされます。
• 同じ訪問者の見え方が違う。 あるプラグインは Cloudflare の背後の実際の IP を読み、別のプラグインはプロキシの IP を読みます。一方はボットをロックアウトし、もう一方は全員をロックアウトします。
• 更新するものが増える。 プラグインはどれも最新に保たなければならないコードであり、注意を払うべき入口が増えることでもあります。
• 衝突する。 2 つのプラグインがログイン URL を書き換えたり、同じ失敗したログインを両方で数えたりすると、奇妙な不具合が起きます。

よくある間違い

• 一度にすべてを切り替える。 役割を 1 つずつ移し、その都度テストしてください。
• 途中で設定を失う。 何かを無効化する前に、以前の隠しログインパス、許可 IP、制限値を書き留めておきましょう。
• 隙を作る。 以前の構成では XML-RPC を塞いでいたのに、新しい構成ではまだ塞いでいなければ、入口が開いたことになります。古いプラグインをオフにする前に、新しいレイヤーをオンにしてください。
• 1 つのプラグインですべてができると期待する。 マルウェアの駆除、ファイアウォールのルール、バックアップ、ログインの強化をすべて同じようにこなせるプラグインはありません。どのツールがどの役割を担うのかを明確にしておきましょう。

プラグインを使わない方法

単純な役割をコードに移せば、新しいプラグインを入れなくてもプラグインの数を減らせます:

• XML-RPC 経由のログイン: xmlrpc_enabled フィルター（XML-RPC を無効化する方法を参照）
• ユーザー名の漏えい: REST、投稿者スキャン、サイトマップ向けのいくつかのフィルター（ユーザー名を隠す方法を参照）
• コメント: 不要なら「設定 → ディスカッション」で受け付けをオフにする

1 つひとつのスニペットは小さくても、まとめればあなたしか保守しない独自プラグインになります。ログも、共有の許可リストも、テストもありません。サイトが 1 つだけの開発者なら、それでもかまわないかもしれません。しかし管理するサイトが増えるほど、難しくなっていきます。

うまくいかないときは

• ログイン非表示のプラグインを入れ替えたらログインできない。 古いプラグインのパスはもう使えません。wp-config.php に define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' ); を追加するか、ログイン URL を変更したら wp-admin が 404 にをご覧ください。
• フォームが送信されなくなった。 2 つのスパム対策が同じフォームをチェックしている可能性があります。古いハニーポットのアドオンをオフにしてから、ページキャッシュを削除してください。
• ロックアウトが倍になった。 2 つのログイン制限プラグインが同じ試行を数えています。古いほうを無効化してください。

Hushfort なら

Hushfort Security は無料の WordPress セキュリティプラグインで、Hushfort Pro はその上に追加する有料アドオンです。

Hushfort は 10 の役割を 1 つのプラグインにまとめます。ログイン非表示、ログイン制限、二要素認証、XML-RPC 向けのバックドアロック、ユーザー名シールド、攻撃面スキャン、スパム対策、偽登録ブロック、大量アクセス＆偽ボット対策、そしてスリム化です。それぞれが、個別にオンにできるモジュールになっています。ログイン非表示、攻撃面スキャン、基本的なスパム対策は無料で、それ以外のレイヤーは Hushfort Pro で使えます。

• レイヤーごとのステータスカードが並ぶ、1 つのダッシュボード。
• 失敗した試行とブロックした試行をまとめた、絞り込み可能な 1 つの「履歴」。
• すべてのモジュールで共通の IP の読み取り方と、1 つの許可リスト。
• 外部サービスなし、CAPTCHA なし、テレメトリーなし。

はっきり言っておくと、マルウェアスキャン、ファイアウォールのルールセット、国単位のブロック、バックアップは行いません。それらには専用のツールを残してください。Hushfort はそうしたツールと問題なく併用できます。