はじめ方
更新日
このガイドでは、無料プラグインのインストールからログインページを隠すまでを説明します。所要時間は約 5 分です。管理者アカウントと、念のためサイトのファイルにアクセスする手段 (ホスティングのファイルマネージャー、FTP、SSH のいずれか) を用意してください。
Hushfort Security には WordPress 6.2 以降、PHP 7.2 以降が必要です。
1. 無料プラグインをインストールする
ZIP をアップロードします (現時点)。 Hushfort Security はまだ wordpress.org に掲載されていません。掲載されるまでは、ZIP ファイルからインストールしてください:
- 管理画面で プラグイン → 新規プラグインを追加 → プラグインのアップロード を開きます。
hushfort-security.zipファイルを選び、今すぐインストール をクリックします。- プラグインを有効化 をクリックします。
解凍したフォルダーを /wp-content/plugins/hushfort-security にアップロードし、プラグイン画面から有効化することもできます。
wordpress.org に掲載された後は、プラグイン → 新規プラグインを追加 で「Hushfort」を検索してそこからインストールでき、更新もいつもどおり WordPress 経由で届きます。
有効化しただけでは、サイトには何の変化もありません。ログイン非表示は、パスを選ぶまで何もしません。
2. Hushfort のダッシュボードを開く
管理画面に新しく Hushfort メニューが表示されます。ダッシュボードにはレイヤーごとにステータスカードが並び、どの入口が開いていて、どれが塞がれているかがひと目でわかります。各カードから、そのレイヤーの設定へ移動できます。
まずは 攻撃面スキャン から始めましょう。自分のサイトに実際のリクエストを送り、ログインページ、XML-RPC、公開されているユーザー名など、サイトが外部に見せているものを表示します。
3. ログインページを隠す
- ログイン非表示 を開きます。
- ログインパスを決めます。例:
my-door-7。使えるのは英字、数字、ハイフンです。loginやadminのようなありがちな単語は避けてください。 - 保存します。
これ以降、ログインしていない訪問者が wp-login.php や wp-admin にアクセスすると「見つかりません」ページが返されます。ログインフォームは yoursite.com/my-door-7 に移ります。admin-ajax、REST API、WP-Cron、XML-RPC はそのまま動作します。
4. 新しいログイン URL を控える
ログアウトする前に、次の 2 つを行ってください:
- URL を保存する。 パスワードマネージャーなど、人目に触れない場所に控えます。
- テストする。 ブラウザーのプライベートウィンドウで開き、ログインフォームが表示されれば完了です。
ログインページを隠すと自動化された攻撃のノイズは減りますが、それだけでは不十分です。ログイン制限、二要素認証、強力なパスワード、アップデートと組み合わせてください。
5. 「アクセスできなくなったら」カードを確認する
ダッシュボードには アクセスできなくなったら カードがあります。現在のログイン URL と、忘れてしまったときに wp-config.php に追加できる緊急用の行が表示されます。要点は次のとおりです:
define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' );
この行を /* That's all, stop editing! */ より上に追加すると、ログインフォームが yoursite.com/new-path で開きます。再びログインするためのすべての方法は、ログインできなくなったら ページにまとめています。
次のステップ
- 各プランの内容を確認する: Free と Pro の違い。
- すべてのレイヤーを使いたい場合: Hushfort Pro をインストールしてライセンスを有効化する。
- うまく動かない場合: トラブルシューティング。